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Editorial 


Ursprünglich war für diese Ausgabe das Schwerpunkthema „Technischer Daten- 
schutz” geplant. Aber wie das Leben so spielt, werden die Planungen durch das re- 
ale Leben über den Haufen geworfen. Zum einen stellte sich die Frage, was gibt es 
überhaupt Neues zum technischen Datenschutz. Da fand sich dann erstmal nicht 
ganz so viel, was die Zielgruppe dieser Zeitschrift interessieren dürfte. Zum anderen 
gab es wichtige (Nicht)-Entwicklungen zum Entwurf der ePrivacy-Verordnung und 
zu weiteren Omnibusgesetzen, mit denen nationales Recht geändert werden soll. 
Aus diesen Gründen enthält diese Ausgabe nur einen Artikel, der einige Aspekte des 
Technischen Datenschutzes beleuchtet. 


Dafür finden sich aber - neben den üblichen umfangreichen Datenschutz-Nach- 
richten aus Bund, Ländern, Europa und der Welt sowie Gerichtsurteilen und Buch- 
besprechungen - ein Artikel zur Regulierung des Datenschutzes bei Kindern, ein 
Kommentar zur Datenschutz-Folgenabschätzung (der im weitesten Sinne auch zum 
ursprünglich vorgesehenen Schwerpunktthema passt) eben auch ein Artikel zum 
Entwurf der ePrivacy-Verordnung und einer zu den Gesetzesvorhaben aufnationaler 
Ebene, in denen auch die in Deutschland deutlich umfassender geregelte Pflicht zu 
Benennung von Datenschutzbeauftragten durch nichtöffentliche Stellen zur Dispo- 
sition steht. 


In der Hoffnung, dass diese Zeitschrift Sie noch rechtzeitig vor dem Jahreswechsel 
erreicht, wünschen wir Ihnen nicht nur eine spannende Lektüre sondern auch alles 
Gute im neuen Jahr. Bleiben Sie uns gewogen! 

Werner Hülsmann 

Stellv. Vorsitzender der Deutschen Vereinigung für Datenschutz 
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Studentin und Projektbearbeiterin im Master of Media Research an der Hochschule 
der Medien in Stuttgart, kathrin.haering@gmx.net 


Werner Hülsmann 
Vorstandsmitglied in der DVD, huelsmann@datenschutzverein.de, Ismaning 


Joachim Jakobs 
Freier Journalist und Buchautor, jj@privatsphaere.org 


Prof. Holger Nohr 
Hochschule der Medien Stuttgart, Master of Media Research, 
nohr@hdm-stuttgart.de 


167 


Werner Hülsmann 


Technischer Datenschutz - was gibt es Neues? 


Dokumentation der technischen und organisatorischen Maßnahmen 


c 


Auftragnehmer, wie die Auftrags- 
verarbeiter in Zeiten vor der Gültigkeit 
der DSGVO hießen, kannten diese Do- 
kumentationspflicht bereits, da die Do- 
kumentation der TOM Bestandteil der 
Vereinbarung oder des Vertrags zur Auf- 
tragsdatenverarbeitung (ADV-Vereinba- 
rung) gemäß & 11 des alten Bundesda- 
tenschutzgesetzes (BDSG-alt) war. Nach 
herrschender Meinung ist auch mit 
Gültigwerden der DSGVO weiterhin für 
Vereinbarungen oder Verträge zur Auf- 
tragsverarbeitung (AWV) verpflichtend 
die TOM schriftlich oder zumindest in 
Textform zu dokumentieren, denn nur 
so könne der Verantwortliche sicher- 
stellen, dass er, wie es Art. 28 Abs. 1 
DSGVO verlangt, „nur mit Auftragsver- 
arbeitern, die hinreichend Garantien 
dafür bieten, dass geeignete technische 
und organisatorische Maßnahmen so 
durchgeführt werden, dass die Verarbei- 
tung im Einklang mit den Anforderun- 
gen dieser Verordnung erfolgt und den 
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SI 


Schutz der Rechte der betroffenen Per- 
son gewährleistet”, zusammenarbeitet. 
Ohne eine Dokumentation der TOM des 
Auftragsverarbeiters lässt es sich nicht 
überprüfen, ob der Auftragsverarbeiter 
diese „hinreichenden Garantien” ge- 
währleistet. 

Inzwischen sollte es sich aber auch 
herumgesprochen haben, dass jeder Ver- 
antwortliche (Unternehmen, Behörden 
und andere Stellen im Sinne des Art. 4 
Ziff. 7 DSGVO) die technischen und or- 
ganisatorischen Maßnahmen (TOM), die 
dazu dienen, die Sicherheit der Daten- 
verarbeitung zu gewährleisten!, doku- 
mentieren muss. Dies ergibt sich bereits 
aus den Regelungen zum Verzeichnis der 
Verarbeitungstätigkeiten (hier: Art. 30 
Abs. 1 Buchst. g DSGVO für Verantwort- 
liche und Art. 30 Abs. 2 Buchst. d DSGVO 
für Auftragsverarbeiter?). Auch zur Um- 
setzung der Rechenschaftspflicht aus 
Art. 5 Abs. 2 DSGVO ist die Dokumentati- 
on der TOM erforderlich. 


Die DSGVO gibt nun aber keine kon- 
kreten Vorgaben, wie und in welcher 
Ausführlichkeit die TOM zu dokumen- 
tieren sind. Mit etwas Suchen finden 
sich bei der Dt. Datenschutzkonferenz 
(Konferenz der unabhängigen Daten- 
schutzbehörden des Bundes und der 
Länder) in dem Anwendungshinweis 
„Hinweise zum Verzeichnis von Ver- 
arbeitungstätigkeiten, Art. 30 DS- 
GVO“ (Stand: Februar 2018)’ nützliche 
Empfehlungen zur Dokumentation der 
TOM: 

„Für die Bestimmung der zu treffen- 
den Maßnahmen wird auf das Stan- 
dard-Datenschutzmodell, die Leitlinien 
und Orientierungshilfen der Konferenz 
der unabhängigen Datenschutzbehör- 
den des Bundes und der Länder und der 
Artikel-29-Arbeitsgruppe sowie auf die 
bestehenden nationalen und interna- 
tionalen Standards (z. B. BSI-Grund- 
schutz, ISO-Standards) verwiesen.” 
(Ziffer 6.7) 
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Unter Ziffer 6.8 werden „Maßßnahmen- 
bereiche, die sich aus Art. 32 Abs. 1 DS- 
GVO ergeben” ausführlich erläutert und 
unter Ziffer 6.9 werden „weitere Maß- 
nahmenbereiche, die sich aus der DS- 
GVO ergeben und deren Darstellung im 
Verzeichnis empfohlen wird” umfassend 
dargestellt. Wer also als Verantwortli- 
cher oder Auftragsverarbeiter seine TOM 
dokumentieren will, dem ist die Lektüre 
zumindest der Ziffern 6.7 bis 6.9 dieser 
Hinweise sehr zu empfehlen. 


Standard-Datenschutzmodell (SDM) 


Das Standard-Datenschutzmodell 
wurde im April 2018 in der Version 1.1 
von der Dt. Datenschutzkonferenz ver- 
öffentlicht‘. Es ist laut seiner Beschrei- 
bung „eine Methode zur Datenschutz- 
beratung und -prüfung auf der Basis 
einheitlicher Gewährleistungsziele“. 
In der Einleitung finden sich folgende 
Aussagen 

„Das Standard-Datenschutzmodell 
(SDM) bietet geeignete Mechanismen, 
um diese rechtlichen Anforderungen der 
DS-GVO in technische und organisatori- 
sche Maßnahmen zu überführen. Zu die- 
sem Zweck strukturiert das SDM die recht- 
lichen Anforderungen in Form der Ge- 
währleistungsziele Datenminimierung, 
Verfügbarkeit, Integrität, Vertraulich- 
keit, Transparenz, Nichtverkettung und 
Intervenierbarkeit. Das SDM überführt 
mit Hilfe dieser Gewährleistungsziele die 
rechtlichen Anforderungen der DS-GVO in 
die von der Verordnung geforderten tech- 
nischen und organisatorischen Maßnah- 
men. Das SDM enthält im Anhang einen 
Referenzkatalog von technischen und 
organisatorischen Maßnahmen. Dieser 
Katalog kann herangezogen werden, um 
bei jeder einzelnen Verarbeitung sowohl 
durch den Verantwortlichen selbst als 
auch durch die Aufsichtsbehörde zu prü- 
fen, ob das rechtlich geforderte Soll von 
Maßnahmen mit dem vor Ort vorhande- 
nen Ist von Maßnahmen übereinstimmt. 
Das SDM und der Maßnahmenkatalog 
bieten zudem eine sehr gut geeignete 
Grundlage für die Planung und Durch- 
führung der von der DS-GVO geförderten 
datenschutzspezifischen Zertifizierungen 
(Art. 42 DS-GVO) und der in bestimm- 
ten Fällen erforderlichen Datenschutz- 
Folgenabschätzung (Art. 35 DS-GVO).” 
(SDM, Version 1.1. 5f) 
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Mit dieser Beschreibung könnte das 
SDM „das“ Tool zur Dokumentation der 
TOM sein. Wenn, ja wenn nicht das Ka- 
pitel „12 Maßnahmenkatalog“ nur einen 
Hinweis enthielte, dass der Maßnah- 
menkatalog „künftig Bestandteil des 
SDM” sein wird. 

Aber es gibt Hoffnung. Am 7. Septem- 
ber 2018 wurden von der Unterarbeits- 
gruppe „SDM-Bausteine” (zu dieser 
gehören: Der Hessische Beauftragte für 
Datenschutz und Informationsfreiheit, 
Der Landesbeauftragte für Datenschutz 
und Informationsfreiheit Mecklenburg- 
Vorpommern, Sächsischer Datenschutz- 
beauftragter, Unabhängiges Landes- 
zentrum für Datenschutz Schleswig- 
Holstein und Der Beauftragte für den 
Datenschutz der Evangelischen Kirche 
in Deutschland) die ersten sieben Maß- 
nahmenbausteine veröffentlicht®. Die 
Themen dieser Bausteine sind: 


« 11 Aufbewahrung 

« 41 Planung / Spezifikation 

« 42 Dokumentation 

« 43 Protokollierung 

« 50 Trennung 

« 60 Löschen 

« 80 Datenschutz-Management 


Diese Nummerierung macht neugie- 
rig auf die offensichtlich schon ent- 
wickelte Struktur dieser Bausteine. 
Wichtig bei der Nutzung der Bausteine 
ist der Hinweis: 

„Die Autoren der Unterarbeitsgruppe 
weisen ausdrücklich darauf hin, dass die- 
se Bausteine noch nicht in der Konferenz 
der unabhängigen Datenschutzaufsichts- 
behörden des Bundes und der Länder 
abgestimmt worden sind. Sie empfehlen 
den Anwendern, ihre Erfahrungen bei 
der Erprobung der Bausteine den an der 
Entwicklung der Bausteine beteiligten 
Datenschutzbehörden mitzuteilen (z. B. 
unter sdm@datenschutz-mv.de), und 
somit zur Weiterentwicklung von Methode 
und Maßnahmen beizutragen.” 


Zu finden sind diese Maßnahmenbau- 
steine auf https://www.datenschutz-mv. 
de/datenschutz/datenschutzmodell/ 
unter „Maßnahmenkatalog” als PDF-Da- 
teien. In den einzelnen Bausteinen ist 
neben einer Darstellung der Vorgaben 
auch eine Liste möglicher Maßnahmen 
aufgeführt. Auch wenn es sich bisher 


erst um sieben Maßnahmenbausteine 
handelt, lohnt sich ein Blick in diese. 
Wenn die noch fehlenden Maßnahmen- 
bausteine zeitnah erstellt werden - 
auch mit Hilfe der Anwenderinnen und 
Anwender - kann das SDM zu einem gut 
nutzbaren Tool zur Dokumentation der 
TOM und weit darüber hinaus werden. 


Geldbußen wegen nicht 
ausreichender TOM 


Gleich zwei Vorfälle, bei denen Auf- 
sichtsbehörden Geldbußen wegen nicht 
ausreichender TOM erlassen haben, sind 
in der letzten Zeit publik geworden. 


400.000 € Geldbuße für ein Kranken- 
haus in Portugal 


Ein Krankenhaus in Portugal wurde 
von der dortigen Datenschutz-Auf- 
sichtsbehörde wegen DSGVO-Verstößen 
mit einer Geldbuße von 400.000 € be- 
legt. Das Krankenhaus will allerdings 
gegen diese Geldbuße klagen. Ob die 
Klage Aussicht auf Erfolg hat, würde 
der Autor auf Basis des Zeitungsarti- 
kels‘ allerdings bezweifeln: „Laut dem 
Zeitungsbericht hat der Krankenhaus- 
betreiber Untersuchungen der Daten- 
schützer zufolge „bewusst“ IT-Techni- 
kern Zugang zu Daten verschafft, die ei- 
gentlich nur von Ärzten hätten eingese- 
hen werden dürfen. Durch einen Test sei 
festgestellt worden, dass solch ein Profil 
mit unbegrenztem Zugang problemlos 
erstellt werden konnte. - Und nicht nur 
das: Obwohl 2018 nur 296 Ärzte in dem 
Krankenhaus arbeiten, waren in dem 
System insgesamt 985 aktive Benutzer 
als „Arzt“ registriert.” Alleine diese we- 
nigen Aussagen machen deutlich, dass 
hier die Vertraulichkeit der Daten (eine 
der Forderungen aus Art. 5 und aus 
Art. 32 DSGVO) nicht gewährleistet ist 
und entsprechende TOM nicht in ausrei- 
chender Form umgesetzt wurden. 


20.000 € Geldbuße für einen baden- 
württembergischen Social-Media- 
Anbieter 


Mit dieser Geldbuße wurde die erste 
Geldbuße auf Grundlage der DSGVO in 
Deutschland verhängt. Laut der Pres- 
semitteilung der baden-württembergi- 
schen Datenschutzaufsichtsbehörde’ 
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vom 22. November 2018 ist das Bußgeld 
so glimpflich ausgefallen, da das Unter- 
nehmen mit der Aufsichtsbehörde, dem 
Landesbeauftragten für Datenschutz 
und Informationsfreiheit Baden-Würt- 
temberg (LfDI), kooperiert habe: 

„Das Unternehmen hatte sich am 08. 
September 2018 mit einer Datenpannen- 
meldung an den LfDI gewandt, nachdem 
es bemerkt hatte, dass durch einen Ha- 
ckerangriff im Juli 2018 personenbezoge- 
ne Daten von circa 330.000 Nutzern, da- 
runter Passwörter und E-Mail-Adressen, 
entwendet und Anfang September 2018 
veröffentlicht worden waren. Ihre Nutzer 
informierte das Unternehmen nach den 
Vorgaben der EU-Datenschutzgrundver- 
ordnung (DS-GVO) unverzüglich und um- 
fassend über den Hackerangriff. Gegen- 
über dem LfDI legte das Unternehmen in 
vorbildlicher Weise sowohl Datenverarbei- 
tungs- und Unternehmensstrukturen als 
auch eigene Versäumnisse offen. Hier- 
durch wurde dem LfDI bekannt, dass das 
Unternehmen die Passwörter ihrer Nutzer 
im Klartext, mithin unverschlüsselt und 
unverfremdet (ungehasht), gespeichert 
hatte. (...). 

Das Unternehmen setzte innerhalb we- 
niger Wochen weitreichende Maßnahmen 
zur Verbesserung ihrer IT-Sicherheitsar- 
chitektur um und brachte damit die Siche- 
rung ihrer Nutzerdaten auf den aktuellen 
Stand der Technik. Zudem wird das Unter- 
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nehmen innerhalb der nächsten Wochen 
in Abstimmung mit dem LfDI zusätzliche 
Maßnahmen zur weiteren Verbesserung 
der Datensicherheit durchführen. 

Durch die Speicherung der Passwörter 
im Klartext verstieß das Unternehmen 
wissentlich gegen seine Pflicht zur Ge- 
währleistung der Datensicherheit bei der 
Verarbeitung personenbezogener Daten 
gem. Art. 32 Abs. 1 lit a. DS-GVO.“ 

Die moderate Höhe des Bußgeldes 
wurde vom LfDI damit begründet, dass 
Bußgelder nach der DSGVO nicht nur 
wirksam und abschreckend, sondern 
auch verhältnismäßig sein sollen. Zu- 
sammen mit dem Bußgeld habe das Un- 
ternehmen unter Einbeziehung der seit 
der Datenschutzpanne ergriffenen Maß- 
nahmen und künftig noch vorgesehen 
IT-Sicherheitsmaßnahen einen Gesamt- 
betrag im sechsstelligen Euro-Bereich 
zu tragen. Da andere Medien auch den 
Namen des Unternehmens genannt ha- 
ben, könnte es gut sein, dass es neben 
dieser Geldbuße zusätzlich auch zu Re- 
putationsverlusten und Abwanderung 
von Kundinnen und Kunden und damit 
zu monetären Einbußen kommt. 


Fazit 
Auch wenn die Umsetzung sowie die 


Dokumentation der TOM mit Aufwand 
verbunden ist, so lohnt es sich doch, 


hier für ausreichende Maßnahmen zu 
sorgen und diese auch zu dokumentie- 
ren. Dies dient nicht nur dem Schutz der 
Privatsphäre der betroffenen Personen, 
sondern reduziert auch das Risiko von 
Bußgeldern. 


1 Vgl. Art. 24 Abs. 1und Art. 32 Abs. lin 
Verbindung mit Art. 5 DSGVO 


2 Dort steht zwar jeweils „wenn möglich” 
- Es ist aber nicht ersichtlich, warum 
dies spätestens zum Zeitpunkt des Ein- 
möglich sein sollte. 


3 https://www.datenschutzkonferenz- 
online.de/media/ah/201802_ah_ 
verzeichnis_verarbeitungstaetigkeiten. 
pdf 


4 https://www.datenschutzkonferenz- 
online.de/media/ah/201804_ah_sdm. 


pdf 


5 https://www.datenschutz-mv.de/ 
datenschutz/publikationen/Erste- 
Bausteine-des-SDM- 
Maßnahmenkatalogs/ 


6 http://www.faz.net/aktuell/wirtschaft/ 
diginomics/dsgvo-strafe-krankenhaus- 
in-portugal-muss-400-000-euro-zahlen- 
15852321.html 


7 https://www.baden-wuerttemberg. 
datenschutz.de/lfdi-baden-wuerttem- 
berg-verhaengt-sein-erstes-bussgeld-in- 
deutschland-nach-der-ds-gvo/ 


Die EU-ePrivacy-Verordnung - eine unendliche Geschichte? 


Eigentlich sollte die EU-ePrivacy- 
Verordnung (ePrivVO) bereits am 25. 
Mai 2018 gemeinsam mit der EU-Da- 
tenschutzgrundverordnung (DSGVO) 
gültig werden. Tatsächlich ist sie 
immer noch nicht gültig. Derzeit ist 
leider auch nicht davon auszugehen, 
dass die ePrivVO vor 2021 gültig wer- 
den wird. Zwar war das EU-Parlament 
in Sachen ePrivVO schon sehr fleißig. 
Aber der Ministerrat lässt sich Zeit, 
viel Zeit, sehr viel Zeit, um nicht zu 
sagen unverschämt viel Zeit. Aber der 
Reihe nach: 
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Immer noch gültig: Die ePrivacy- 
Richtlinie 


Derzeit ist auf EU-Ebene die soge- 
nannte ePrivacy-Richtlinie („RICHTLINIE 
2002/58/EG DES EUROPÄISCHEN PAR- 
LAMENTS UND DES RATES vom 12. Juli 
2002 über die Verarbeitung personenbe- 
zogener Daten und den Schutz der Pri- 
vatsphäre in der elektronischen Kommu- 
nikation (Datenschutzrichtlinie für elek- 
tronische Kommunikation)” oder kürzer: 
ePrivRL) in der aktuellen Fassung gültig. 
Die letzte wesentliche Änderung erfolgte 


durch die sogenannte Cookie-Richtlinie 
(RICHTLINIE 2009/136/EG DES EURO- 
PÄISCHEN PARLAMENTS UND DES RATES 
vom 25. November 2009). 

Die ePrivacy-Richtlinie ist mitsamt 
ihren Änderungen allerdings - wie dies 
bei EU-Richtlinien grundsätzlich so ist - 
nicht direkt anwendbar, sondern musste, 
damit sie in den Mitgliedstaaten der EU 
wirksam wurde, von diesen in nationales 
Recht umgesetzt werden. Diese Umset- 
zung ist in den verschiedenen Mitglied- 
staaten sehr unterschiedlich erfolgt. Dies 
wird beispielsweise bei der Umsetzung 
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des Art. 13 dieser Richtlinie deutlich. So 
sind in Deutschland die Regelungen zur 
werblichen Ansprache per Telefon, Fax, 
E-Mail, etc. aus Art. 13 ePrivRLim 8 7 des 
Gesetzes gegen den unlauteren Wettbe- 
werb (UWG) gelandet. Dies hat zur Kon- 
sequenz, dass eine unzulässige werbliche 
Ansprache per E-Mail nur einen Wettbe- 
werbsverstoß darstellt, die Datenschutz- 
aufsichtsbehörden sich hier nicht zu- 
ständig fühlen und der Verstoß nicht mit 
einem Bußgeld geahndet wird. Andere 
Regelungen der ePrivRL sind in Deutsch- 
land durch Regelungen im Telekommuni- 
kationsgesetz (TKG) und im Telemedien- 
gesetz (TMG) umgesetzt worden. 

In Spanien war und ist eine unzuläs- 
sige werbliche Ansprache per E-Mail al- 
lerdings sehr wohl ein Verstoß, der mit 
einem Bußgeld geahndet wurde und 
wird. So hat esin den letzten Jahren eini- 
ge Fälle gegeben, in denen Bußgelder in 
fünfstelliger Höhe verhängt wurden. 

Die Umsetzung der Änderungen an 
der ePrivacy-Richtlinie, die sich aus 
der Cookie-Richtlinie ergaben, hätten 
bis 2011 auch in Deutschland erfolgen 
müssen. Zwar behauptete die Bundes- 
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regierung beharrlich gegenüber der 
EU-Kommission, dass diese Umsetzung 
erfolgt sei. Faktisch betrachtet kann 
in Deutschland aber keine Rede davon 
sein, dass es eine adäquate Umsetzung 
der wesentlichen Vorschrift der Cookie- 
Richtlinie gegeben hätte, nach der für 
alle Cookies, die nicht technisch not- 
wendig sind und deren Gültigkeitsdauer 
über das Sitzungsende hinausgeht, eine 
Einwilligung der jeweiligen Nutzerin- 
nen und Nutzer erforderlich ist. 


Was änderte sich durch das Gültig- 
werden der DSGVO 


Kurz gesagt: Fast nichts. Artikel 95 
DSGVO, der schon ausweislich seiner 
Überschrift das „Verhältnis zur Richt- 
linie 2002/58/EG” also der ePrivacy- 
Richtlinie regelt, bestimmt, dass die 
DSGVO „natürlichen oder juristischen 
Personen in Bezug auf die Verarbeitung 
in Verbindung mit der Bereitstellung 
öffentlich zugänglicher elektronischer 
Kommunikationsdienste in öffentlichen 
Kommunikationsnetzen in der Union 
keine zusätzlichen Pflichten auf[erlegqt], 


Bild: iStock 


soweit sie besonderen in der Richtlinie 
2002/58/EG festgelegten Pflichten un- 
terliegen, die dasselbe Ziel verfolgen.” 
Die ePrivacy-Richtlinie bleibt also im We- 
sentlichen durch die DSGVO unberührt. 
Zu berücksichtigen ist aber, dass ge- 
mäß Artikel 2 Satz 1 ePrivRL die Begriffs- 
bestimmungen der zum 25. Mai 2018 
aufgehobenen EU-Datenschutzrichtlinie 
(Richtlinie 95/46/ EG) gelten und dass 
nach Artikel 2 Satz 2 Buchst. f der Be- 
griff „’Einwilligung‘ eines Nutzers oder 
Teilnehmers die Einwilligung der betrof- 
fenen Person im Sinne von Richtlinie 
95/46/ EG;” bezeichnet. Diese Verweise 
auf die alte EU-Datenschutzrichtlinie 
laufen aber nun nicht ins Leere, sondern 
sind gemäß Art. 94 Abs. 2 DSGVO als sol- 
che auf die DSGVO zu sehen. Sprich: Für 
Einwilligungen gemäß der - durch die 
Cookie-Richtlinie geänderten - ePrivacy- 
Richtlinie sind die Anforderungen an die 
Einwilligung aus den Art. 7 und 8 DSGVO 
zu stellen. Letzteres ist nicht nur beim 
Setzen von Cookies, deren Gültigkeits- 
dauer über die aktuelle Browsersitzung 
hinausgeht zu beachten, sondern auch 
bei der werblichen Ansprache per elek- 


El 


tronischer Medien, wie Telefon, Fax, E- 
Mail, etc. für die auch nach dem Gültig- 
werden der DSGVO die Regelungen des 87 
UWG als deutsche Umsetzung von Art. 13 
ePrivRL weiterhin zu beachten sind. 


Der Entwurf der ePrivacy-Verordnung 


Schon bei der Vorstellung des Entwurfs 
der DSGVO war seitens der EU-Kommissi- 
on angekündigt worden, dass auch eine 
Überarbeitung der EU-ePrivacy-Richtli- 
nie vorgesehen ist. Eine entsprechende 
öffentliche Konsultation hierzu hat be- 
reits im Zeitraum vom 12. April bis 05. 
Juli 2016 stattgefunden. Die Zusammen- 
fassung des Ergebnisses dieser Konsulta- 
tion wurde von der EU-Kommission am 
04. August 2016 veröffentlicht". 

Die EU-Kommission hat sich, auch auf 
Grund der Ergebnisse der Konsultation, 
entschieden, wie schon bei der DSGVO 
auch für den Bereich der elektronischen 
Kommunikation einen Entwurf für eine 
direkt gültige Verordnung vorzulegen 
und es nicht bei einer Richtlinie zu be- 
lassen?. Bereits am 13. Dezember 2016 
wurde ein erster Entwurf geleakt?. Am 
10. Januar 2017 wurde von der EU-Kom- 
mission der - gegenüber dem geleakten 
vorläufigen Entwurf noch veränderte 
- Entwurf der „VERORDNUNG DES EURO- 
PÄISCHEN PARLAMENTS UND DES RATES 
über die Achtung des Privatlebens und 
den Schutz personenbezogener Daten in 
der elektronischen Kommunikation und 
zur Aufhebung der Richtlinie 2002/58/ 
EG (Verordnung über Privatsphäre und 
elektronische Kommunikation)” oder 
kurz: ePrivacy-Verordnung‘ vorgestellt. 
In diesem Entwurf war noch vorgese- 
hen, dass die ePrivacy-Verordnung zeit- 
gleich mit der DSGVO am 25. Mai 2018 
gültig werden sollte. Der EU-Kommis- 
sion war selbstverständlich klar, dass 
dies ein ambitionierter Zeitplan war. Er 
wäre - bei gutem Willen aller Beteiligten 
- aber einzuhalten gewesen. Aber offen- 
sichtlich war und ist - wie noch gezeigt 
wird - nicht überall dieser gute Wille 
vorhanden. 


Das EU-Parlament war fleißig 
Bereits am 16. Februar 2017 erfolgte 
die Behandlung des Entwurfs der ePriva- 


cy-Verordnung in erster Lesung im Par- 
lament. Es erfolgte eine Verweisung an 
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die Ausschüsse, als federführender Aus- 
schuss wurde - wie es auch bei der Be- 
handlung der DSGVO war - der LIBE-Aus- 
schuss (Ausschuss für Bürgerliche Frei- 
heiten, Justiz und Inneres) bestimmt. 

Wie zu erwarten war, wurden sehr 
viele Änderungsvorschläge eingereicht. 
Trotzdem gab es schon am 09. Juni 
2017 einen ersten Berichtsentwurf der 
Berichterstatterin des LIBE-Ausschus- 
ses’. Etwas mehr als vier Monate später, 
am 19. Oktober 2017, wurde im LIBE- 
Ausschuss der finale Berichtsentwurf 
mit 31:24:1 Stimmen angenommen. In 
gleicher Sitzung hat sich der LIBE-Aus- 
schuss das Mandat zur Aufnahme der 
Trilog-Verhandlungen erteilt. Dieses LI- 
BE-Trilog-Mandat wurde - entsprechend 
der geltenden Verfahrensregelungen - 
am 23. Oktober 2017 im EU-Parlament 
angekündigt. Da von einigen Fraktio- 
nen eine Abstimmung im Parlament ver- 
langt wurde, erfolgte diese am 26. Okto- 
ber 2017. Dabei hat das EU-Parlament 
mit einer deutlichen Mehrheit von 320 
zu 280 Stimmen bei 18 Enthaltungen 
das LIBE-Trilog-Mandat und damit auch 
den Änderungsvorschlag des LIBE-Aus- 
schusses bestätigt.° Da im Änderungs- 
entwurf des LIBE-Ausschusses bereits 
eine einjährige Übergangszeit vorgese- 
hen war, war zu diesem Zeitpunkt schon 
ziemlich sicher, dass die ePrivacy- 
Verordnung nicht vor Ende 2018 gültig 
werden würde. 


Der EU Ministerrat lässt sich Zeit 


Eine erste Behandlung des Entwurfs 
der ePrivacy-Verordnung im Ministerrat 
erfolgte dagegen erst am 09. Juni 2018. 
Am 08. September 2017 gab es einen 
ersten Entwurf der Änderungsvorschlä- 
ge des Ministerrates’. Allerdings gab 
es erst am 06. Oktober 2017 eine ab- 
gestimmte Fassung der Änderungsvor- 
schläge zu den Artikeln 1 bis 5 ePrivVO- 
Entwurf und der entsprechenden Erwä- 
gungsgründe®. Zehn Tage später, am 16. 
Oktober 2017 wurde die abgestimmte 
Fassung der Änderungsvorschläge zu 
den Artikeln 12 bis 20 ePrivVO-Entwurf 
und den entsprechenden Erwägungs- 
gründen veröffentlicht?. Es fehlten also 
im November 2017 immer noch die ab- 
gestimmten Änderungsvorschläge zu 
den Artikeln 6 bis 11 und den Artikeln 
21 bis 29 ePrivVO-Entwurf. Auch der 


Ministerrat hatte eine einjährige Über- 
gangsfrist vorgesehen, so dass von die- 
ser Seite aus ein Gültigwerden vor Ende 
2018 nun bereits ausgeschlossen wer- 
den konnte. 

Ein Jahr später, im November 2018, ist 
der ePrivVO-Entwurf immer noch in der 
Beratung des EU-Ministerrats. Der Mi- 
nisterrat hat seine Stellungnahme noch 
immer nicht beschlossen. Daran hat 
auch die österreichische Ratspräsident- 
schaft (01.07. bis 31.12.2018) nichts 
geändert. Zwar steht im „Programm des 
österreichischen Ratsvorsitzes”: 

„Überdies wird sich der österreichi- 
sche Ratsvorsitz für zukunftssichere 
Regelungen zum Datenschutz im digi- 
talen Umfeld einsetzen, insbesondere 
im Rahmen der Arbeiten zur Verordnung 
über die Achtung des Privatlebens und 
den Schutz personenbezogener Daten in 
der elektronischen Kommunikation. Da- 
bei gilt es einerseits einen hohen Schutz 
der Privatsphäre in der elektronischen 
Kommunikation sicherzustellen und 
andererseits Rücksicht auf die Ent- 
wicklungsmöglichkeiten für innovative 
Dienste zu nehmen.“!° 

Von entsprechenden Aktivitäten, die 
zu einem Abschluss der Beratungen des 
Entwurfs der ePrivacy-Verordnung füh- 
ren könnten, ist allerdings nichts zu se- 
hen. Ganz im Gegenteil: Die österreichi- 
sche Ratspräsidentschaft hat das Ver- 
fahren im Rat mehr oder weniger neu 
aufgerollt. Am 19. Oktober 2018 hat die 
österreichische Ratspräsidentschaft 
einen neuen Entwurf einer Stellung- 
nahme des Rats veröffentlicht'!. Dieser 
müsste nun im Ministerrat erörtert wer- 
den, wenn er die Basis für den Beschluss 
der Stellungnahme werden soll. Von da- 
her ist deutlich, dass Österreich kein 
Interesse daran hat, die Verhandlungen 
im Rat bis zum Ende der österreichi- 
schen Ratspräsidentschaft abzuschlie- 
ßen. Während der sechsmonatigen 
österreichischen Ratspräsidentschaft 
ist auch nur eine Sitzung des Minister- 
rats für „Transport, Telekommunikation 
und Energie” angesetzt. Diese findet 
nach Redaktionsschluss am 03. und 04. 
Dezember 2018 statt und hat immerhin 
einen „Fortschrittsreport” zur ePrivacy- 
Verordnung auf der Tagesordnung”. 
Offensichtlich scheint die österreichi- 
sche Ratspräsidentschaft lieber EU- 
Überwachungsrichtlinien zu forcieren 
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als die ePrivacy-Verordnung voranzu- 
bringen’®. 

Auch Deutschland und Frankreich 
„glänzen“ als Bremser bei der ePrivacy- 
Verordnung, u.a. aufgrund von massiver 
Lobbyarbeit der Werbewirtschaft und 
Firmen, die ihr Geld mit den Daten der 
Nutzerinnen und Nutzer verdienen. 


Die nächsten Schritte? 


Erst wenn der Ministerrat seine Stel- 
lungnahme beschlossen hat, können 
die Trilog-Verhandlungen (zwischen 
EU-Kommission, EU-Parlament und EU- 
Ministerrat) beginnen. In diesen wird 
dann der endgültige Text der ePrivacy- 
Verordnung festgelegt. Aber selbstwenn 
die Trilog-Verhandlungen noch 2019 
abgeschlossen werden sollten, kann die 
ePrivacy-Verordnung frühestens 2020 
oder sogar erst 2021 - der österreichi- 
sche Entwurf der Stellungnahme des Mi- 
nisterrats sieht eine zweijährige Über- 
gangsfrist vor - gültig werden. Bis dahin 
müssen leider Nutzerinnen und Nutzer 
wie auch Firmen und andere Stellen mit 
einem nicht immer einfachen Dreiklang 
aus DSGVO, ePrivacy-Richtlinie und den 
mehr oder weniger guten Umsetzungen 
der ePrivacy-Richtlinie in nationales 
Recht leben. 


NGOs fordern EU-Rat zum Beschluss 
über qualifizierte ePrivacy-Verord- 
nung auf 


In einem offenen Brief ‘vom 27. Ok- 
tober 2018 fordern alleine in Deutsch- 
land 16 Nichtregierungsorganisationen 
(NGO) den Bundesminister für Wirt- 
schaft und Energie auf, sich für einen 
Abschluss der Verhandlungen zur ePri- 
vacy-Verordnung einzusetzen, da dies 
„ein großer Schritt zur Stärkung des 
Rechts des Einzelnen auf Privatsphäre 
und Meinungsfreiheit in der gesam- 
ten EU, zur Stärkung des Vertrauens 
in Online-Dienste und zur Schaffung 
von Rechtssicherheit für Unternehmen 
und Einzelpersonen wäre”. Die Deut- 
sche Vereinigung für Datenschutz hat 
diesen Brief ebenfalls unterzeichnet 
und hierzu am 30. Oktober 2018 eine 
eigene Pressemitteilung veröffentlicht, 
die auch in dieser Ausgabe abgedruckt 
ist. Auch in anderen Ländern der EU 
wurden vergleichbare offene Briefe an 
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die jeweiligen zuständigen Ministerien 
gesandt. 


Worum geht es? 


Ein wesentlicher Streitpunkt bei der 
ePrivacy-Verordnung ist die Frage, ob 
eine Nutzung von Standort- und wei- 
teren Telekommunikationsverkehrsda- 
ten für „kompatible Zwecke” durch die 
ePrivacy-Verordnung zugelassen wer- 
den soll. Diese Fragestellung ist für das 
Fernmeldegeheimnis und den Schutz der 
Privatsphäre grundlegend! Derzeit gilt 
aus guten Gründen, dass Standortdaten 
nur genutzt werden dürfen, soweit dies 
für die Erbringung des Dienstes erfor- 
derlich ist oder wenn eine Einwilligung 
der betroffenen Person vorliegt. Lobby- 
gruppen der Wirtschaft fordern dagegen, 
es zu erlauben auf Basis der aus dem 
allgemeinen Datenschutzrecht bekann- 
ten Interessenabwägung (Art. 6 Abs. 1 
Buchst. fDSGVO) diese - und andere Ver- 
kehrsdaten - auch für sogenannte kom- 
patible Zwecke zu nutzen. Dabei wird von 
diesen Lobbygruppen aber - vermutlich 
bewusst - übersehen, dass es sich bei 
diesen Verkehrs- und Standortdaten 
bereits um sehr sensible Daten handelt, 
deren Verwendung durch Unternehmen 
und staatliche Stellen zur Wahrung der 
Persönlichkeitsrechte der betroffenen 
Personen strengeren Regelungen unter- 
worfen werden müssen, als sie im all- 
gemeinen Datenschutzrecht enthalten 
sind. Auch die DSGVO kennt mit den Ar- 
tikeln 9 und 10 strikte Einschränkungen 
für besonders sensible Datenkategorien, 
bei denen eine Verarbeitung aufBasis der 
Interessenabwägung aus gutem Grund 
ausgeschlossen ist. Gleiches muss auch 
weiterhin für die Verkehrs- und Stand- 
ortdaten im Bereich der Telekommunika- 
tion gelten, da diese bereits tiefgehen- 
de Einblicke in Verhalten und Vorlieben 
der betroffenen Personen gewähren. 


Ausblick 


Aus EU-Parlamentskreisen ist zu hö- 
ren, es würde sich nicht lohnen, den ös- 
terreichischen Entwurf der Stellungnah- 
me anzuschauen, da auch dieser erst im 
Rat diskutiert werden müsse. Es sei auch 
derzeit nicht absehbar, wann und unter 
welcher Ratspräsidentschaft der Entwurf 
der ePrivacy-Verordnung erörtert und die 


dazugehörige Stellungnahme beschlos- 
sen würde. Österreich sitzt dem Rat nur 
noch bis Ende Dezember 2018 vor, dann 
folgen Rumänien (Januar - Juni 2019), 
Finnland (Juli - Dezember 2019), Kroati- 
en (Januar - Juni 2020) und Deutschland 
(Juli - Dezember 2020)'°. Ob eines dieser 
Länder die Behandlung des Entwurfs der 
ePrivacy-Verordnung vorantreiben wird, 
bleibt abzuwarten. 

Im EU-Parlament und insbesondere 
im LIBE-Ausschuss wird derzeit über- 
legt, ob das EU-Parlament vor der im 
Mai 2019 anstehenden nächsten Wahl 
des EU-Parlamentes abschließend über 
den Entwurf der ePrivacy-Verordnung 
entscheiden soll. Üblicherweise findet 
diese abschließende Entscheidung nach 
den Trilog-Verhandlungen auf Basis des 
in den Trilog-Verhandlungen ausge- 
handelten Textes statt. Eine vorherige 
abschließende Entscheidung des EU- 
Parlaments zum Entwurf der ePrivacy- 
Verordnung hätte allerdings eine gewis- 
se bindende Wirkung auf das Verhand- 
lungsmandat des LIBE-Ausschusses der 
nächsten Legislaturperiode. 

Ein Ende der „unendlichen Geschich- 
te ePrivacy-Verordnung” ist also leider 
noch nicht in Sicht. Auch ist nicht ab- 
zusehen, ob diese „Geschichte“ ein qu- 
tes Ende nehmen wird. Der Autor dieser 
Zeilen hofft, dass es nicht weitere zwei 
Jahre dauert bis es sich lohnt, hier in 
der DANA erneut über die ePrivacy-Ver- 
ordnung zu berichten. 


1 Siehe: https://ec.europa.eu/digital- 
single-market/en/news/summary- 
report-public-consultation-evaluation- 
and-review-eprivacy-directive 


2 Vgl. http://europa.eu/rapid/press- 
release_IP-17-16_de.htm 


3 Siehe: https://dsgvo.expert/oh6Xp 
und Hülsmann: „Entwurf der ePrivacy- 
Verordnung ist öffentlich - Auswirkung 
auf das Direktmarketing?“, DANA 4/2016 
Seite 177ff 


4 Die am 14. Februar 2017 veröffentlichte 
deutsche Übersetzung des Entwurfs ist 
hier zu finden: http://ec.europa.eu/ 
newsroom/dae/document.cfm?doc_ 
id=42678 


5 https://dvd-ev.de/20170003 


6 Vgl. http://www.europarl.europa. 
eu/sides/getDoc.do?type=REPORT 
&mode=XML&reference=A8-2017- 
0324&language=EN 
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7 Vgl. http://eur-lex.europa. 
eu/legal-content/EN/TXT/ 
PDF/?uri=CONSIL:ST_11995_2017_ 
INIT&qid=1505069080801&from=EN 


8 http://data.consilium.europa.eu/doc/ 
document/ST-12955-2017-INIT/EN/pdf 


9 Vgl. http://data.consilium.europa.eu/ 
doc/document/ST-13217-2017-INIT/ 
en/pdf 


Werner Hülsmann 


10 https://www.eu2018.at/dam/ 
jer:b5dd3521-d93b-4dbc- 
8378-1d1a6a7f99cf/Programm%20 
des%20%C3%B6sterreichischen%20 
Ratsvorsitzes.pdf 

11 Vgl. https://www.parlament.gv.at/ 
PAKT/EU/XXVI/EU/03/91/EU_39172/ 
imfname_10848802.pdf 

12 https://www.consilium.europa.eu/ 
media/36332/st_10497_2018_init_ 
en.pdf 


13 Vgl. https://www.eu2018.at/de/ 
agenda-priorities/priorities.html 


14 https://dvd-ev.de/Brief-ePriv 


15 Vgl. auch https://edps.europa.eu/press- 
publications/press-news/blog/urgent- 
case-new-eprivacy-law_de 


16 https://www.consilium.europa.eu/de/ 
council-eu/presidency-council-eu/ 


2. DSAnpUG-EU, DSUAnpaG-EU und die Pflicht 
zur Benennung von Datenschutzbeauftragten bei 
nichtöffentlichen Stellen 


Ja, Sie haben richtig gelesen. Es gibt 
aktuell nicht nur einen Gesetzesent- 
wurfzur Anpassung und Umsetzung von 
Bundesrecht an die DSGVO und die JI- 
Richtlinie, sondern es gibt 
° zum einen den Entwurf des 2. DSAnp- 
UG-EU (Zweites Gesetz zur Anpassung 
des Datenschutzrechts an die Verord- 
nung (EU) 2016/679 und zur Umset- 
zung der Richtlinie (EU) 2016/680 
(Zweites Datenschutz-Anpassungs- 
und Umsetzungsgesetz EU) - BT-Drs. 
19/4674)‘, der zumindest in Daten- 
schutzkreisen schon bekannt war und 
zum anderen den Entwurf eines „Ge- 
setzes zur Umsetzung der Richtlinie 
(EU) 2016/680 im Strafverfahren 
sowie zur Anpassung datenschutz- 
rechtlicher Bestimmungen an die 
Verordnung (EU) 2016/679“ - BT-Drs. 
19/4671, von dem auch der Autor 
dieses Beitrags bis Mitte Oktober noch 
nichts gehört und gelesen hatte. 


Für den zweiten Gesetzentwurf gibt 
es keine offizielle Abkürzung, auch 
wenn sich Datenschutzumsetzungs- 
und Anpassungsgesetzentwurf EU 
(noch kürzer: DSUAnpG-EU) anbieten 
würde. Während das 2. DSAnpUG-EU 
wie das erste DSAnpUG-EU aus dem 
Bundesinnenministerium kommt und 
in erster Linie der Anpassung nationa- 
len Rechts an die DSGVO und in zweiter 
Linie der Umsetzung der Richtlinie (EU) 
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2016/680 (JI-Richtlinie) dient, dient 
das Datenschutzumsetzungs- und An- 
passungsgesetz EU in erster Linie der 
Umsetzung der JI-Richtlinie und in 
zweiter Linie der Anpassung nationa- 
len Rechts an die DSGVO. Das kommt 
Ihnen etwas verwirrend vor. Keine Sor- 
ge, das ist es auch. Ob das Absicht ist? 
Diese Frage möge die geneigte Leserin 
und der geneigte Leser bitte für sich 
selbst - nach der Lektüre dieses Bei- 
trags - beantworten. Mit diesen beiden 
Gesetzentwürfen sollen insgesamt 173 
Bundesgesetze geändert werden. Das 
sind nicht gerade wenige. Alle diese 
Änderungen nachzuvollziehen bedeu- 
tet einen immensen Arbeitsaufwand. 

Das 2. DSAnpUG-EU ist im Rahmen der 
Verbändeanhörung auch der Deutschen 
Vereinigung für Datenschutz mit der 
Bitte um Stellungnahme zugeleitet wor- 
den. Diese Fassung diente tatsächlich in 
erster Linie redaktioneller Anpassungen 
an die DSGVO und einiger Umsetzun- 
gen der JI-Richtlinie. Die dann später 
in den Bundesrat und den Bundestag 
eingebrachte Fassung sah da schon 
ganz anders aus und enthält auch Rege- 
lungen zur deutlichen Einschränkung 
des Datenschutzes (siehe „Auszüge aus 
dem Plenarprotokoll vom 12. Oktober 
2018”). 

Im Rahmen der Gesetzgebungsver- 
fahren zu den beiden Gesetzentwürfen 
ist im Oktober erst einmal die Initia- 


tive aus Bayern im Bundesrat, mit der 
die deutschen Regelungen zur Pflicht 
zur Benennung betrieblicher Daten- 
schutzbeauftragter des 8 38 Abs. 1 BDSG 
gestrichen bzw. deutlich aufgeweicht 
werden sollten, gescheitert (nur Baden- 
Württemberg hat noch für diese Initiati- 
ve gestimmt). Das Thema der Einschrän- 
kung der Benennungspflicht von Daten- 
schutzbeauftragten für nichtöffentliche 
Stellen ist damit aber noch nicht vom 
Tisch. Ganz im Gegenteil: Es gibt wei- 
terhin bei unterschiedlichen Akteuren 
das große Interesse, die deutschen Re- 
gelungen zur Pflicht zur Benennung 
von Datenschutzbeauftragten bei nicht- 
öffentlichen Stellen im Rahmen dieser 
Gesetzgebungsverfahren wieder stark 
einzuschränken. 


Bisheriger Verfahrensgang 
Bundesrat 


Beide Gesetzentwürfe wurden bereits 
am 02.10.2018 im federführenden Aus- 
schuss für Innere Angelegenheiten sowie 
im Wirtschaftsausschuss des Bundesrats 
beraten. Die Beschlussempfehlung die- 
ser beiden Ausschüsse? enthielt zum Ent- 
wurf des 2. DSAnpUG-EU auch Vorschlä- 
ge zur Änderung des BDSG, insbesondere 
die Streichung oder Abschwächung der 
Pflicht zur Benennung von Datenschutz- 
beauftragten für nichtöffentliche Stellen 
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(Änderungsvorschläge 2 bis 5). Der Bun- 
desrat hat hierüber und über die Ände- 
rungsvorschläge der beiden Ausschüsse 
in seiner Sitzung am 19. Oktober für die 
erste Runde abschließend beraten und 
die Änderungsvorschläge zu $ 38 Abs. 1 
BDSG abgelehnt. Die angenommenen 
Änderungsvorschläge zu den beiden Ge- 
setzentwürfen finden sich in den Bun- 
desratsdrucksachen 430/18(B)* und 
433/18(B)}. 


Bundestag 


Die erste Beratung im Bundestag ist 
am 12. Oktober 2018 erfolgt‘. Es er- 
folgte - erwartungsgemäß - eine Über- 
weisung an die Ausschüsse, für das 
2. DSAnpUG-EU ist der Ausschuss für 
Inneres und Heimat federführend, für 
das Datenschutzumsetzung- und -an- 
passungsgesetz der Ausschuss für Recht 
und Verbraucherschutz. 

Eine - in Bezug auf die Benennungs- 
pflicht betrieblicher Datenschutzbe- 
auftragter - wichtige Aussage aus dem 
Protokoll ist folgende: 
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Marc Henrichmann (CDU/CSU): 

„In den anstehenden Beratungen wer- 
den wir noch einige Änderungswünsche 
besprechen müssen. Da geht es um die 
Bestellung (sic!) des betrieblichen Da- 
tenschutzbeauftragten, die sogenannte 
Zehner-Schwelle.“ 


Mit Datum vom 31. Oktober 2018 wur- 
de dem Bundestag der Beschluss des 
Bundesrates und die entsprechende Ge- 
genäußerung der Bundesregierung zum 
2. DSAnpUG-EU (Bundestagsdrucksa- 
chen 19/5414’) und mit Datum vom 
07. November 2018 der Beschluss des 
Bundesrates und die entsprechende Ge- 
genäußerung der Bundesregierung zum 
Datenschutzumsetzungs- und -anpas- 
sungsgesetz EU (Bundestagsdrucksa- 
che 19/5554) zugeleitet. 


Weiteres Verfahren 


Jetzt liegen die Gesetzentwürfe mit- 
samt Beschlüssen des BR und den Ge- 
genäußerungen der Bundesregierung 
hierzu in den Ausschüssen des Deut- 


schen Bundestages. Dort werden diese 
beraten und bei Bedarf Änderungen an 
den Gesetzentwürfen erarbeitet. Nicht 
selten kommt es dabei vor, dass die Bun- 
desregierung dem jeweils federführen- 
den Ausschuss eine „Formulierungshil- 
fe“ übermittelt, mit der Änderungswün- 
sche der Bundesregierung noch in den 
Ausschüssen umgesetzt werden sollen. 
Oft ist es auch schon passiert, dass die 
entscheidende Sitzung des federfüh- 
renden Ausschusses am Mittwoch einer 
Plenarwoche stattfand und dann der 
Bundestag am Donnerstag oder Freitag 
der gleichen Woche über den entspre- 
chenden Gesetzentwurf und den vom 
federführenden Ausschuss vorgelegten 
Änderungsentwurfin zweiter und dritter 
Lesung und damit abschließend beraten 
und beschlossen hat. In solchen Fällen 
ist es dann selbst für die interessierte 
Fachöffentlichkeit nicht mehr möglich 
auf die vorgesehenen Änderungen zu 
reagieren. Und auch den Abgeordneten 
im Bundestag ist es kaum möglich sich 
inhaltlich mit den vorgeschlagenen Än- 
derungen auseinander zu setzen. Da bei 


LITE 


175 


dem geplanten Vorhaben mit diesen bei- 
den genannten Gesetzesentwürfen 173 
Bundesgesetze geändert werden sollen, 
gilt dies um so mehr. 


Einschränkung der Pflicht zur 
Benennung von Datenschutzbeauf- 
tragten in nichtöffentlichen Stellen? 


Die Diskussionen über Änderungen 
am & 38 Abs. 1 BDSG oder gar dessen 
vollständige Streichung, die zu einer 
starken oder gar radikalen Einschrän- 
kung einer Pflicht zur Benennung von 
betrieblichen Datenschutzbeauftrag- 
ten, also Datenschutzbeauftragten von 
nichtöffentlichen Stellen führen wür- 
den, lassen einen ganz wichtigen As- 
pekt völlig außer Acht: 

Unabhängig davon, ob Verantwort- 
liche und Auftragsverarbeiter Da- 
tenschutzbeauftragte zu benennen 
haben oder nicht, haben die Verant- 
wortlichen und Auftragsverarbeiter 
alle für sie geltenden Anforderungen 
der DSGVO umzusetzen. 

Dies bedeutet aber auch, dass es bei 
jedem Verantwortlichen und bei jedem 
Auftragsverarbeiter eine Person geben 
muss, die weiß, welche Anforderungen 
die DSGVO an diesen Verantwortlichen 
oder Auftragsverarbeiter stellt und wie 
diese in der Praxis am besten umgesetzt 
werden können. Welche Geschäftsfüh- 
rung, welcher Vorstand will diese Auf- 
gabe schon selbst übernehmen? 

Die Erfahrung in Deutschland zeigt, 
dass gerade kleinere Unternehmen, die 
nicht zur Bestellung bzw. Benennung 
von Datenschutzbeauftragten verpflich- 
tet sind und auch keine Datenschutz- 
beauftragten benannt haben, sich mit 
der Umsetzung des Datenschutzrechts 
schwer tun. Und dies gilt nicht erst seit 
dem Gültigwerden der DSGVO am 25. Mai 
2018 oder der davorliegenden zweijäh- 
rigen Übergangszeit. Bereits in den Da- 
tenschutzzeiten vor der DSGVO - an die- 
ser Stelle sei der Hinweis erlaubt, dass 
es das erste Bundesdatenschutzgesetz 
bereits 1977 gab - hatten gerade die 
Unternehmen, die keine Datenschutz- 
beauftragten zu bestellen hatten und 
dieses auch nicht getan hatten, immen- 
se Schwierigkeiten, die Anforderungen 
des alten BDSG umzusetzen. Manch 
eine Geschäftsführung glaubte sogar 
(und glaubt vielleicht immer noch) irri- 
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gerweise, dass sie sich gar nicht um den 
Datenschutz kümmern müsste, solan- 
ge sie keine Datenschutzbeauftragten 
bräuchte. 

Interessant ist an dieser Stelle die 
Erfahrung des Autors, dass auch klei- 
nere Unternehmen, die nicht verpflich- 
tet wären, Datenschutzbeauftragte 
zu benennen, dies dann „freiwillig“ 
vornehmen, wenn es plötzlich (meist 
etwas größere) Auftraggeber gibt, die 
die Umsetzung des Datenschutzes in 
diesen kleinen Unternehmen zur Vor- 
aussetzung für die Beauftragung von 
Dienstleistungen erklären, selbst wenn 
die Verarbeitung personenbezoge- 
ner Daten des Auftraggebers nicht die 
Kerntätigkeit dieser kleineren Unter- 
nehmen darstellt. Dies zeigt doch, dass 
die Benennung von Datenschutzbeauf- 
tragten die Unternehmen dabei unter- 
stützt, die Anforderungen des Daten- 
schutzes, insbesondere aus der DSGVO, 
einzuhalten. 

Was wäre also dadurch gewonnen, 
wenn in Deutschland die derzeitigen 
Regelungen zur Pflicht zu Benennung 
betrieblicher Datenschutzbeauftragter 
aufgeweicht oder ganz gestrichen wür- 
den, also im Extremfall nur noch die Re- 
gelungen aus Art 38 DSGVO zur Benen- 
nungspflicht greifen würden? Die Ant- 
wort ist einfach: Nichts! Weder für die 
Unternehmen noch für die betroffenen 
Personen, deren Daten in den Unterneh- 
men verarbeitet werden. 

Um es ganz klar zu formulieren: Wenn 
die Pflicht zur Benennung betrieblicher 
Datenschutzbeauftragter aufgeweicht 
würde, müssten auf der anderen Seite 
die personellen Ressourcen der deut- 
schen Datenschutz-Aufsichtsbehörden 
deutlich erhöht werden, da dann - um 
eine einigermaßen akzeptable Umset- 
zung des Datenschutzes weiterhin zu 
gewährleisten - die Kontrolldichte im 
Bereich Datenschutz enorm erhöht wer- 
den müsste. Ist dies wirklich das, was 
die Unternehmen wollen? Sicher nicht! 

Wenn weniger Unternehmen betrieb- 
liche Datenschutzbeauftragte benen- 
nen, wer soll dann diese Unternehmen 
bei der Umsetzung des Datenschut- 
zes beraten? Sicher stehen hier viele 
Rechtsanwältinnen und Rechtsanwäl- 
te gerne zur Verfügung. Aber wird dies 
dann für die Unternehmen einfacher 
und kostengünstiger? Sicher nicht! 


An wen sollen sich denn betroffe- 
ne Personen wenden, wenn deutlich 
weniger Unternehmen betriebliche 
Datenschutzbeauftragte haben? Dann 
bleiben doch nur die Datenschutz- 
Aufsichtsbehörden, verbandsklage- 
berechtigte Datenschutzvereine und 
die Gerichte (unter zu Hilfenahme von 
Rechtsanwältinnen und Rechtsan- 
wälten). Ist es das, was den betroffe- 
nen Personen die Wahrnehmung ihrer 
Rechte erleichtert und was es den Un- 
ternehmen hilft, Datenschutz effizient 
umzusetzen? Sicher nicht! 

Dies soll an dieser Stelle genügen. 
Weitere Gründe, warum es nicht sinn- 
vollist, diein Deutschland bestehenden 
Pflichten zur Benennung betrieblicher 
Datenschutzbeauftragten aufzuwei- 
chen, finden sich im - auch von der 
Deutschen Vereinigung für Datenschutz 
unterstützten - Positionspapier „Wett- 
bewerbsvorteil für deutsche Unterneh- 
men und Schutz von Verbraucherrech- 
ten“, das auch in dieser Ausgabe abge- 
druckt ist. 


Auszüge aus dem Plenarprotokoll 
vom 12. Oktober 2018 


Vermutlich haben nicht viele das 
Plenarprotokoll des Bundestags vom 
12. Oktober 2018 zum TOP 26° (erste 
Lesung zum 2. DSAnpUG-EU und zum 
DSUAnpaG-EU) gelesen. Daher wurden 
hier einige Auszüge ausgewählt. Diese 
Auszüge verdeutlichen, dass es bei den 
beiden Gesetzentwürfen mitnichten nur 
um die Anpassung an die DSGVO und die 
Umsetzung der JI-Richtlinie geht, son- 
dern dass vielmehr Regelungsvorschlä- 
ge enthalten sind, die den Datenschutz 
weiter schwächen. 


Bild: Webseite 


Marco Wanderwitz, Parl. Staatssekre- 
tär beim Bundesminister des Innern, für 
Bau und Heimat: 

„In dem engen Spielraum, den uns die 
EU-Datenschutz-Grundverordnung hier 
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lässt, besteht eine der wenigen Möglich- 
keiten, die es für Erleichterungen gibt, 
darin, Änderungen an der Bestellpflicht 
für betriebliche Datenschutzbeauftragte 
vorzunehmen.“ (6212 C) 


Rita Hagl-Kehl, Parl. Staatssekretärin 
bei der Bundesministerin der Justiz und 
für Verbraucherschutz: 

„Eine weitere Neuerung ist, dass das 
Bundesdatenschutzgesetz künftig auch 
für die Strafverfolgungsbehörden der 
Länder gelten soll. Damit werden deren 
Verarbeitungsvorgänge erheblich verein- 
facht.” (6213 B) 

„In Bezug auf die sogenannte zweckän- 
dernde Verwendung von Daten aus ein- 
griffsintensiven Maßnahmen, etwa von 
Telekommunikationsüberwachungen 
oder Onlinedurchsuchungen, hat der Ge- 
setzentwurf die vom Bundesverfassungs- 
gericht aufgestellten Kriterien aufgegrif- 
fen.” (6213 B/C) 


Bild: Team Martens 


Dr. Jürgen Martens (FDP): 

„Solche Gesetze bringen die fast un- 
widerstehliche Verlockung mit sich, po- 
litisch zumindest schwierige Vorhaben, 


Jetzt DVD-Mitglied werden: 


sagen wir mal, in einem nicht ganz so 
übersichtlichen Umfeld mit durch das Ge- 
setzgebungsverfahren zu bringen. 

Wenn man sich diesen Gesetzent- 
wurf anschaut, stößt man im Bereich 
des Bundesdatenschutzgesetzes auf 
einmal in $ 22 Absatz 1 Nummer 1d des 
Bundesdatenschutzgesetzes auf eine zu- 
sätzliche Regelung. Da heißt es, dass be- 
sonders sensible Daten - solche im Sinne 
des Artikels 9 der DSGVO - nun auch von 
nichtöffentlichen Stellen bearbeitet wer- 
den können sollen. Das klingt als solches 
nicht besonders schlimm, aber es stellt 
sich die Frage: Wer befindet darüber, 
ob eine entsprechende Datenverarbei- 
tung im öffentlichen Interesse ist oder 
nicht? Nach Ihrem Gesetz tut das wohl 
der private Datenverarbeiter. Das dürfte 
allerdings unzulässig sein, denn: Was 
im öffentlichen Interesse ist, hat der Ge- 
setzgeber oder zumindest eine öffentli- 
che Stelle zu definieren. Also so einfach, 
dass es sich hier nur um Anpassungen 
handelt, ist das Ganze nicht.“ (6213 D 
/ 6214 A) 
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Niema Movassat (DIE LINKE): 

„Erstens: Die Änderungen im Staats- 
angehörigkeitsgesetz. Bisher sind Be- 
hörden, die mit Staatsangehörigkeits- 
fragen zu tun haben, die einzigen, die 
auf die personenbezogenen Daten zu- 
greifen dürfen. Die Übermittlung der Da- 
ten an andere Stellen ist per Gesetz nicht 
erlaubt. Die Bundesregierung will das 


ändern. Die Daten sollen danach auch 
an Verfassungsschutzbehörden weiter- 
geleitet werden können, ohne dass ein 
konkreter Verdacht vorliegt. Das ist kein 
Datenschutz, sondern eine Datenschutz- 
verletzung. 

Zweitens. Sie möchten gravierende 
Änderungen beim Asylgesetz im Bereich 
des Datenschutzes vornehmen. Nach der 
neuen Regelung können das Bundesamt 
für Migration und Flüchtlinge sowie Aus- 
länderbehörden Gesundheitsinformatio- 
nen, Berichte über das Sexualleben und 
andere intime Daten von Geflüchteten 
an andere Behörden wie die Verfassungs- 
schutzbehörden weiterleiten. Hier wird 
klar: Datenschutz, selbst der Schutz in- 
timster Daten, soll für Geflüchtete nicht 
gelten. Das ist abzulehnen; Datenschutz 
muss für alle gelten. 

Drittens. Die Änderungen im Bundes- 
datenschutzgesetz sehen vor, dass auch 
nichtöffentliche Stellen Daten für die Si- 
cherheitsbehörden bereithalten müssen. 
In der Gesetzesbegründung steht: ‚Ein 
solches zwingendes Erfordernis’ - ge- 
meint ist das Erfordernis zur Datenweiter- 
gabe - ‚kann etwa bei der Verarbeitung 
von personenbezogenen Daten mit Reli- 
gionsbezug durch zivilgesellschaftliche 
Träger im Rahmen von Präventions- und 
Deradikalisierungsprogrammen im Be- 
reich religiös motiviertem, insbesondere 
islamistischem, Extremismus bestehen.‘ 
Hiermit werden also zivilgesellschaftliche 
Organisationen, die wichtige Präventi- 
onsarbeit gegen religiöse Radikalisierung 
leisten, gezwungen, ihre Daten an die 
Sicherheitsbehörden herauszugeben.” 
(6214 D, 6215 A) 

„Aber für den Datenschutz der Betrof- 
fenen im Strafverfahren - darum ging es 
dem Bundesverfassungsgericht eigent- 
lich - haben Sie nicht gesorgt. Vielmehr 
können nach der neuen Regelung die 
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Geheimdienste Daten mit den Strafverfol- 
gungsbehörden austauschen. Der Betrof- 
fene hat kaum die Möglichkeit, dagegen 
vorzugehen. Das ist kein Grundrechts- 
schutz, das ist mehr Macht für die Sicher- 
heitsbehörden.“ (6215 B) 


Bild: 
Webseite 


Dr. Konstantin von Notz (BÜNDNIS 
90/DIE GRÜNEN): 


„Auch mit der zweiten Vorlage schlei- 
fen Sie wieder Betroffenenrechte und 
Aufsichtsmöglichkeiten. An mehreren 
Stellen werden Abwägungserfordernisse 
zulasten der Bürgerinnen und Bürger zu- 
rückgeschraubt.“ (6215D) 

„Die Koalition aber hat den Gesetz- 
entwurf genutzt, gleich mal etwas mit zu 
regeln, was dem Datenschutz der Men- 
schen diametral entgegenläuft, nämlich 
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die Erhebung retrograder, aus betriebli- 
chen Gründen von Providern gespeicher- 
ter Standortdaten. Das verstecken Sie 
unter Artikel 1 Ziffer 6 Buchstabe a Unter- 
punkt bb des Gesetzentwurfs.” (6215 D, 
6216 A) 


Foto: Büro 
Marc Henrichmann 


Marc Henrichmann (CDU/CSU): 


„In den anstehenden Beratungen wer- 
den wir noch einige Änderungswünsche 
besprechen müssen. Da geht es um die 
Bestellung des betrieblichen Datenschutz- 
beauftragten, die sogenannte Zehner- 
Schwelle. Wir müssen zumindest über 
Erleichterungen dahin gehend reden, ob 
es nicht Sinn macht, diejenigen rauszu- 
nehmen, die sich nicht schwerpunktmäßig 
und betrieblich mit Datenverarbeitung be- 
fassen.” (6216 D) 
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Bild: 
Webseite 
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Axel Müller (CDU/CSU): 

„Erstens. Die Auffangnorm des $ 500 
Strafprozessordnung, Frau Staatssekretä- 
rin, bedarf durchaus der Erwähnung hier. 
Sie haben ja gesagt, dort wird klargestellt, 
dass nunmehr auch bei den Länderbehör- 
den - sprich: bei den Staatsanwaltschaf- 
ten; Justiz ist ja bekanntlich Ländersache 
- das Bundesdatenschutzgesetz zur An- 
wendung kommen soll. Warum eigent- 
lich? Warum kommt nicht das Landesda- 
tenschutzgesetz zur Anwendung? Warum 
geht das Bundesdatenschutzgesetz dem 
Landesdatenschutzgesetz vor, wenn Lan- 
desbehörden mit Daten umgehen? Wie 
widersprüchlich die Formulierung ist, 
zeigt sich in der weiteren Fassung des 
$ 500 StPO. Dort steht nämlich explizit 
drin, dass für die Einhaltung und Kont- 
rolle der datenschutzrechtlichen Bestim- 
mungen nicht der Bundesdatenschutz- 
beauftragte, sondern der Landesdaten- 
schutzbeauftragte zuständig ist. Hier ist 
der Gesetzentwurf widersprüchlich oder 
unvollständig; es bedarf zumindest einer 
Korrektur.” (6218C) 


1 http://dipbt.bundestag.de/dip21/ 
btd/19/046/1904674.pdf 


2 http://dipbt.bundestag.de/dip21/ 
btd/19/046/1904671.pdf 


3 https://www.bundesrat.de/drs. 
html?id=430-1-18 


4 http://dipbt.bundestag.de/dip21/ 
brd/2018/0430-18B.pdf 


5 http://dipbt.bundestag.de/dip21/ 
brd/2018/0433-18B.pdf 


6 Vgl. das zu diesem Punkt sehr lesens- 
werte Plenumsprotokoll http://dipbt. 
bundestag.de/dip21/btp/19/19056. 
pdf#P.6211 


7 http://dipbt.bundestag.de/dip21/ 
btd/19/054/1905414.pdf 


8 http://dipbt.bundestag.de/dip21/ 
btd/19/055/1905554.pdf 


9 http://dipbt.bundestag.de/dip21/ 
btp/19/19056.pdf#P.6211 


DANA « Datenschutz Nachrichten 4/2018 


Joachim Jakobs 


Was nur wenige wissen: 
Datenschutzfolgenabschätzungen sind für viele 
Anwendungen Pflicht! 


Hundert Terabytes benötigen per LTE 
(300 MBit/s) 31 Tage zur Übertragung - 
eine Übung, die sich per 5G (1 GBit/s) 
auf knapp 10 Tage reduziert. Künftig 
wollen wir aber Daten in Bakterien 
speichern und über Petabit-Leitungen 
übertragen, um so personalisierte Pro- 
thesen, menschliche Organe, Medika- 
mente, Lebensmittel, Kleidung, Möbel, 
Autos/Häuser (aus der Ferne) in 3D zu 
drucken, Lohnabrechnungen per RFID 
und videobasierte Persönlichkeitsprofi- 
le in Echtzeit zu erstellen oder mit der 
Genschere CRISPR am Erbgut rumzu- 
fummeln. 3D-Echtzeitrekonstruktions- 
verfahren ermöglichen die natürliche 
Kommunikation örtlich getrennter 
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GesprächspartnerInnen - so werden 
Wissenschaft, Forschung und Lehre 
umgekrempelt. Auch Banken, Energie- 
versorger, Stadtverwaltungen, Telekom- 
munikationsunternehmen und (Sozial-) 
Versicherungen stehen vor der digitalen 
Transformation: Vom alltäglichen Be- 
schwerdemanagement bis zur zukunfts- 
orientierten Vertriebssteuerung - über- 
all können Entscheidungen, die bisher 
mit Erfahrung und einer gesunden 
Portion Bauchgefühl getroffen wurden, 
durch stetig wachsende Datenbestände, 
ausgeklügelte Algorithmen und Künst- 
liche Intelligenz (KI) gestützt oder 
gänzlich automatisiert werden. Die KI 
soll für steuerberatende Berufe alle um- 


Bild: iStock 


satzsteuerrelevanten Daten auswerten 
und strukturieren, so dass die Angaben 
aus allen Datenquellen automatisiert 
auf Knopfdruck zur Umsatzsteuervor- 
anmeldung genutzt werden können. Ein 
Roboter-Anwalt soll bereits menschliche 
KollegInnen ersetzen. Zur Vernetzung 
der Welt stehen uns 350 Sextillionen IP- 
Adressen zur Verfügung. Damit ließen 
sich die 100 Billionen Körperzellen von 
theoretisch 10 Milliarden Erdenbürge- 
rInnen 350.000mal durchnummerieren. 
Die Zeit, um die (unbeabsichtigte und 
evtl. unrechtmäßige) Übertragung des 
oben genannten Datenvolumens abzu- 
brechen, würde sich mit einer Petabit- 
Leitung auf eine Sekunde reduzieren. 
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Die Kehrseite der Medaille - auch auf 
der kriminellen Seite tut sich Einiges: 
Je breitbandiger die Netzverbindungen, 
desto massiver die möglichen Konse- 
quenzen von Überlastungsangriffen. 
Schlimmer noch: Kriminelle künstliche 
Intelligenz erteilt wahlweise Empfeh- 
lungen, bei welcher IP-Adresse ein An- 
griff lohnt - oder führt diesen Angriff 
auf Wunsch auch grad noch autonom 
durch. Ziel auswählen - fertig! 

Von Betroffenen werden bereits heute 
hohe Summen bezahlt, damit deren Ge- 
sundheitsakte nicht im Internet veröf- 
fentlicht wird. Wieviel sind Sie bereit da- 
für zu bezahlen, dass niemand an Ihren 
elektronischen Innereien rummacht? 
Und: Werden Sie mit diesen Innereien 
zum Risiko für Ihren Arbeitgeber? Bis 
2021 wird damit gerechnet, dass die Cy- 
berkriminalität weltweit 6 Billionen (!) 
US-$ jährlich erwirtschaftet. Unklar ist 
dabei, ob in diesem Betrag die künftige 
Leistungsfähigkeit von neuen Anwen- 
dungen bereits berücksichtigt ist oder 
ob dadurch die Beute noch erhöht wird. 
Der russische Präsident Wladimir Putin 
ist jedenfalls der Ansicht, wer die KI be- 
herrsche, beherrsche die Welt. 

Bislang drücken wir uns vor der Debat- 
te, ob wir beherrschen was wir tun und 
was das alles für uns bedeutet: Gesund- 
heitsminister Jens Spahn möchte die 
elektronische Patientenakte per „Smart- 
phone” zugänglich machen. Sinnvoll 
wäre es jedoch erst einmal, die Patien- 
tenakte, das schlaue Telefon und alle 
anderen an diesem System beteiligten 
Hard- und Softwarebausteine zwischen- 
drin zunächst einem unabhängigen Pen- 
test (Penetrationstest) zu unterziehen. 

Haften müssen die Verantwortlichen. 
In der Wissenschaft könnte beispiels- 
weise Wolfgang Wahlster, Geschäftsfüh- 
rer vom Deutschen Forschungszentrum 
für Künstliche Intelligenz (DFKI) in 
Saarbrücken, zu dieser Spezies zählen. 
So ist es denkbar, dass etwa im For- 
schungsprojekt „Human Analytics Apps 
TrackMe und GeoVisualizer” personen- 
bezogene Daten verarbeitet werden: 
Bereits auf der Cebit 2014 soll gezeigt 
worden sein, wie Vitalparameter, Emo- 
tionen, Aktivitäten und personenbezo- 
gene Daten wie Geschlecht oder Alter 
mit Informationen aus der unmittelba- 
ren Umgebung in Verbindung gebracht 
werden können. Solche Vitalparameter 
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könnten für „Generali Vitality“ verlo- 
ckend sein - der Versicherungskonzern 
will seine KundInnen „für jeden Schritt 
in ein gesünderes Leben“ belohnen. 
Bislang hat sich die DFKI-Pressestelle 
jedenfalls nicht dazu geäußert, ob das 
Institut tatsächlich in irgendeinem sei- 
ner 240 Forschungsprojekte mit realen 
personenbezogenen Daten arbeitet oder 
stattdessen Testdaten nutzt. Bei die- 
sen Projekten mit personenbezogenen 
Daten wäre derjenige, der über die Mit- 
tel und Zwecke der Datenverarbeitung 
entscheidet, für die Einhaltung von 
Artikel5 Absatz1derDatenschutzgrund- 
verordnung (DSGVO) „verantwortlich 
und muss dessen Einhaltung nachwei- 
sen können („Rechenschaftspflicht”)” 
(Artikel 5 Abs. 2 DSGVO). 

Zur Rechenschaftspflicht gehört auch 
die „Sicherheit der Verarbeitung”; in Ar- 
tikel 32 DSGVO schreibt der Gesetzgeber: 
„Unter Berücksichtigung des Stands der 
Technik, der Implementierungskosten 
und der Art, des Umfangs, der Umstände 
und der Zwecke der Verarbeitung sowie 
der unterschiedlichen Eintrittswahr- 
scheinlichkeit und Schwere des Risikos 
für die Rechte und Freiheiten natürlicher 
Personen treffen der Verantwortliche 
und der Auftragsverarbeiter geeignete 
technische und organisatorische Maß- 
nahmen, um ein dem Risiko angemes- 
senes Schutzniveau zu gewährleisten.” 
Das bedeutet: Der Verantwortliche ist 
verpflichtet, die Eintrittswahrschein- 
lichkeit und Schwere von Risiken syste- 
matisch zu erfassen, zu bewerten und 
daraus das angemessene Schutzniveau 
abzuleiten. Dieses Schutzniveau muss 
dann durch die technischen und organi- 
satorischen Maßnahmen (TOM) auf dem 
„Stand der Technik“ erreicht werden. 
Das Bundesjustizministerium definiert 
den Begriff so: „Stand der Technik ist der 
Entwicklungsstand fortschrittlicher Ver- 
fahren, Einrichtungen und Betriebswei- 
sen, der nach herrschender Auffassung 
führender Fachleute das Erreichen des 
gesetzlich vorgegebenen Zieles gesichert 
erscheinen lässt. Verfahren, Einrichtun- 
gen und Betriebsweisen [...] müssen 
sich in der Praxis bewährt haben oder 
sollten - wenn dies noch nicht der Fallist 
- möglichst im Betrieb mit Erfolg erprobt 
worden sein.” Der Regierung ist also das 
Beste grade gut genug, was der Markt an 
TOM hergibt. 


Sollte sich bei der Risikoanalyse he- 
rausstellen, dass die „Verarbeitung, 
insbesondere bei Verwendung neuer 
Technologien, aufgrund der Art, des 
Umfangs, der Umstände und der Zwecke 
der Verarbeitung voraussichtlich ein 
hohes Risiko für die Rechte und Frei- 
heiten natürlicher Personen zur Folge” 
hat, „so führt der Verantwortliche vorab 
eine Abschätzung der Folgen der vor- 
gesehenen Verarbeitungsvorgänge für 
den Schutz personenbezogener Daten 
durch” (Artikel 35 Abs. 15. 1 DSGVO). 

Eine Datenschutzfolgenabschätzung 
(DSFA) ist dem Gesetzgeber besonders 
bei der systematischen und umfassen- 
den „Bewertung persönlicher Aspekte 
natürlicher Personen“ wichtig, „die sich 
auf automatisierte Verarbeitung ein- 
schließlich Profiling gründet und die 
ihrerseits als Grundlage für Entschei- 
dungen dient, die Rechtswirkung ge- 
genüber natürlichen Personen entfalten 
oder diese in ähnlich erheblicher Weise 
beeinträchtigen” (Artikel 35 Abs. 3 lit. a 
DSGVO). Solche Entscheidungen könn- 
ten womöglich in Belohnungen beste- 
hen, wie sie Generali Vitality verspricht. 

Die DSFA enthält dem Gesetzgeber zu- 
folge „zumindest Folgendes: 

a. eine systematische Beschreibung 
der geplanten Verarbeitungsvorgänge 
und der Zwecke der Verarbeitung, gege- 
benenfalls einschließlich der von dem 
Verantwortlichen verfolgten berechtig- 
ten Interessen; 

b. eine Bewertung der Notwendigkeit 
und Verhältnismäßigkeit der Verarbei- 
tungsvorgänge in Bezug auf den Zweck; 

c. eine Bewertung der Risiken für die 
Rechte und Freiheiten der betroffenen 
Personen [...] und 

d. die zur Bewältigung der Risiken 
geplanten Abhilfemaßnahmen, ein- 
schließlich Garantien, Sicherheitsvor- 
kehrungen und Verfahren, durch die 
der Schutz personenbezogener Daten 
sichergestellt und der Nachweis dafür 
erbracht wird, dass diese Verordnung 
eingehalten wird, wobei den Rech- 
ten und berechtigten Interessen der 
betroffenen Personen und sonstiger 
Betroffener Rechnung getragen wird” 
(Artikel 35 Abs. 7 DSGVO). 

Verantwortliche sind auf verschiede- 
nen Ebenen rechenschaftspflichtig: Ein 
Projektverantwortlicher muss diesem 
Anspruch in seinem Projekt gerecht 
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werden. Und z. B. DFKI-Geschäftsführer 
Wolfgang Wahlster muss dafür sorgen, 
dass seine ProjektleiterInnen von ihrer 
Rechenschaftspflicht überhaupt Notiz 
nehmen. Die Nicht-Kenntnisnahme ent- 
schuldigt den Projektleiter nicht; das 
einzige Schlupfloch: „Der Verantwort- 
liche oder der Auftragsverarbeiter wird 
von der Haftung [...] befreit, wenn er 
nachweist, dass er in keinerlei Hinsicht 
für den Umstand, durch den der Scha- 
den eingetreten ist, verantwortlich ist” 
(Artikel 82 Abs. 3 DSGVO). Der TÜV Nord 
warnt: „Datenschutz: Ab 2018 haften 
Geschäftsführer in Millionenhöhe“. 
Zusammengefasst verlangt die DSGVO 
nach „Sicherheit 4.0”. Das bedeutet: 
Wir müssen - flächendeckend, systema- 
tisch, proaktiv - investieren in Sicher- 


heits-/Notfallkonzepte, physikalischen 
Einbruchschutz, elektronische Signa- 
turen, kryptographische Verschlüsse- 
lungen, IAM-/SIEM-Systeme, rollen- 
spezifische Bildung für Alle, hersteller- 
unabhängige (nach Möglichkeit dyna- 
mische) Gütesiegel für die Wolke sowie 
Produkte/Dienstleistungen/”Apps” und 
Penetrationstests. 

Dabei bitte den Stand der Technik 
nicht vergessen - vielfach ist das KI, 
denn Kl soll auch Wege finden, die dem 
Menschen auf den „ersten Blick“ verbor- 
gen bleiben. Je früher die Verantwortli- 
chen die Zusammenhänge verstehen, 
desto billiger wird es! 

Mehr noch: Wir müssen den ebenfalls 
durch die digitale Transformation be- 
troffenen HandwerkerInnen und Freibe- 


Kathrin Häring und Holger Nohr! 


ruflerInnen samt deren Personal die Zu- 
sammenhänge erklären. Unklar ist aller- 
dings, woher wir die Ressourcen nehmen 
sollen, um die Millionen Menschen in der 
mittelständischen Wirtschaft über die 
Zusammenhänge und ihre sich daraus er- 
gebenden Pflichten aufzuklären. 

Sicher ist nur: Die technische Ent- 
wicklung geht weiter. Claus Cristian 
Timmermann, Professor für Nachrich- 
tentechnik, denkt über „ExaBit/s” 
nach. Dadurch würde sich die Zeit zur 
Übertragung von 100 Terabytes wohl auf 
eine tausendstel Sekunde reduzieren. 


Der Autor hat 2015 „Vernetzte Gesell- 
schaft. Vernetzte Bedrohungen. Wie 
uns die künstliche Intelligenz heraus- 
fordert” veröffentlicht. 


Regulierung des Datenschutzes für Kinder 


Zusammenfassung 


Soziale Medien sind fester Bestand- 
teil des Alltags vieler Kinder und Ju- 
gendlicher. Mit der steigenden Nutzung 
solcher Medien steigen auch Anforde- 
rungen an das Datenschutzrecht, eben- 
so wie die Herausforderungen an den 
bewussten Umgang mit persönlichen 
Daten. Besonders Kinder, die soziale 
Medien mit einer Selbstverständlichkeit 
nutzen und zum Teil unbewusst Daten 
über sich und andere preisgeben, be- 
dürfen besonderen Schutz, denn von 
ihnen kann kein verständiger Umgang 
mit personenbezogenen Daten erwar- 
tet werden. Der Beitrag begründet die 
besondere Schutzwürdigkeit von Min- 
derjährigen in datenschutzrechtlicher 
Hinsicht und gibt einen Überblick über 
die relevanten Regeln der EU-Daten- 
schutz-Grundverordnung (DSGVO) bzgl. 
Minderjähriger. 


I. Einleitung und Relevanz 
Fernsehgeräte/Smart-TVs, Smartpho- 


nes/Handys, Computer/Laptops und 
Internetzugang sind in nahezu allen 
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deutschen Haushalten (mindestens je 
97%) vorhanden und für Kinder alltäg- 
lich. Kinder wachsen selbstverständlich 
mit digitalen Medien auf und - so eine 
Annahme - verstehen nicht hinrei- 
chend, dass vielfältige personenbezoge- 
ne Daten bei der Nutzung der Geräte und 
Dienste erhoben werden und welche Ri- 
siken daraus resultieren?. Erste Ergeb- 
nisse aus unserem Projekt zum „Daten- 
schutzbewusstsein bei der Social-Me- 
dia-Nutzung von Kindern und Jugend- 
lichen”® bestätigen diese Annahme. 
So sind auf Plattformen wie Instagram 
und Snapchat die Story-Funktionen be- 
liebt, bei denen Daten geteilt werden, 
die auf den ersten Blick nur 24 Stunden 
für andere Nutzer sichtbar sind. Eine 
vermeintlich sichere Art, Daten von 
sich zu teilen, denen Kinder Vertrauen 
schenken, wie unsere Gruppendiskus- 
sionen mit Schülerinnen und Schülern 
unterschiedlicher Bildungsniveaus zei- 
gen. Viele Kinder gehen davon aus, dass 
Liken und Kommentieren der Inhalte 
anderer, sowie die Nutzung einer sol- 
chen Story-Funktion bedenkenlos sei, 
weil keine Spuren hinterlassen würden. 
Sie lassen dabei außer Acht, dass die 


Daten bei den Plattformbetreibern ge- 
speichert bleiben und von diesen etwa 
zur Profilbildung genutzt werden. Die- 
ser unaufmerksame und uninformierte 
Umgang mit Daten stellt ein klassisches 
Problem der Nutzung von Social-Media- 
Diensten dar, die von einer Selbstthe- 
matisierung und dem Teilen persönli- 
cher Inhalte leben. In diesem Kontext 
spielen datenbasierte Geschäftsmodelle 
und eng mit diesen verbunden, die Aus- 
wertung großer Datenmengen mit Big 
Data eine zentrale Rolle. Kinder können 
nur schwer und vereinzelt einschätzen, 
wie schnell und vergleichsweise einfach 
sie etwa durch ihr Smartphone abgehört 
werden können oder welche Folgen sol- 
che Aktionen haben können. Die Sicher- 
heitslücke „Stagefright“, welche Mitte 
2015 öffentlich bekannt wurde, erlaubt 
es Angreifern durch einfache technolo- 
gische Manipulation wie einem Exploit- 
Code in einer MMS an das Smartphone 
des Betroffenen, dieses „Smartphone in 
eine Wanze zu verwandeln, die Kamera 
anzusteuern, die Mediengalerie auszu- 
lesen, auf die Bluetooth-Schnittstelle 
zuzugreifen oder auch weiteren Schad- 
code wie etwa Keylogger nachzuladen‘. 
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Kindern digitale Medien vorzuenthal- 
ten, ist jedoch keine Alternative. Kinder 
müssen die Möglichkeit haben, eigene 
Erfahrungen zu sammeln und auf diese 
Weise zu lernen. Sie sollten dabei Zugang 
zu Medienbildungsangeboten haben, um 
sich selbst weiterzubilden. Wie aus un- 
seren Gruppendiskussionen hervorgeht, 
nutzen viele 14- und 15-Jährige etwa die 
Plattform Youtube, um sich Themen, die 
siein derSchule nicht verstanden haben, 
auf andere Weise erklären zu lassen. Im 
Unterschied zu anderen schutzbedürfti- 
gen Personen sind Kindern auf einer Ent- 
wicklungsstufe, auf der selbstbestimm- 
tes Handeln noch erlernt wird und nicht 
vorausgesetzt werden kann. 

Zahlen der aktuellen KIM-Studie zei- 
gen, dass viele Nutzer gegen die Alters- 
bedingung der AGBs von meist 13 Jahren 
verstoßen. Viele Kinder haben das Min- 
destalter vor der Nutzung nicht erreicht. 
In der KIM-Studie werden elterliche Re- 
gelungen für die Nutzung meist ab ca. 
zwölf Jahren ermittelt (YouTube: 11,3 
Jahre, WhatsApp: 11,4 Jahre, Snapchat: 
12,7 Jahre). Die Realität sieht hingegen 
anders aus: 26% der 6- und 7-Jährigen 
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sind bereits WhatsApp-Nutzer, unter den 
8- und 9-Jährigen sind es sogar 36%, ab 
10 Jahre nutzen den Messenger sogar 
über die Hälfte der befragten Kinder. ° 
Kinder zählen zu den häufigen Nut- 
zern von Online-Netzwerken und damit 
zu denen, die dazu neigen, unüberlegt 
Daten öffentlich zu teilen. Kinder besit- 
zen bereits in jungen Jahren ein eigenes 
Smartphone und nutzen dieses häufig 
mit Internetzugang aber ohne inhaltli- 
che Eingrenzung, obwohl für die Haupt- 
funktion - die Kommunikation vor allem 
mit den Eltern -, die oft den Kauf eines 
solchen Geräts rechtfertig, ein Mobilte- 
lefon ausreichen würde. Für Kinder aller- 
dings stellt dieser Grundgedanke nicht 
mehr die meistgenutzte bzw. beliebteste 
Funktion dar, sie nutzen die Geräte vor 
allem als Unterhaltungsmedium und zur 
Kommunikation mit Freunden, Bekann- 
ten oder Fremden. Kommunikation hat 
sich verändert und ausgeweitet, sodass 
viele Gespräche, die nicht zwingend über 
solche Geräte stattfinden müssten, auf 
die digitale Kommunikation verschoben 
werden. Vor allem des Unterhaltungs- 
faktors wegen sind Smartphones, sowie 


andere mobile internetfähige Geräte 
bei Kindern, die meist auch in sozialen 
Netzwerken aktiv sind, sehr beliebt. Das 
Teilen privater Inhalte und persönlicher 
Informationen beschreibt einen unver- 
zichtbaren Bestandteil der Geschäftsmo- 
delle sozialer Netzwerke, die für Kinder 
kaum durchschaubar sind. „Im Internet 
werden heute immer mehr Daten verbrei- 
tet, die klassischerweise mit der Welt des 
Intimen, Privaten, Geheimen oder (auch 
nur) Alltäglichen assoziiert werden”.s 
Eine Einwilligung der Eltern und damit 
die Erlaubnis, Kinder frei in sozialen 
Netzwerken agieren zu lassen, wie sie 
bisher vermutlich eher selten tatsächlich 
eingeholt wurde, fordert entsprechendes 
Vertrauen in eine verantwortungsbe- 
wusste Nutzung und notwendige Reife. 
Dabei neigen Eltern oft dazu, ihren Kin- 
dern zu viel zuzutrauen oder die Nut- 
zung zu erlauben, um sie vor anderen 
Kindern nicht auszugrenzen. Kinder, 
die in sozialen Netzwerken nicht aktiv 
sind, stellen eine Minderheit dar und 
grenzen sich damit aus manchen Kom- 
munikationen aus. Kinder sind einer- 
seits wenig interessiert an der Weiter- 
verarbeitung ihrer Daten, andererseits 
ist es für sie schwer nachvollziehbar, 
welche Daten wie und wofür weiter- 
verwendet werden’ und dass nicht nur 
aktiv und bewusst geteilte Daten (z. B. 
Bilder) erhoben und genutzt werden. 
Nie zuvor wurden so viele Daten er- 
hoben und analysiert, was bedeutet, 
dass von Kindern, die heute mit digi- 
talen Medien aufwachsen, von klein 
auf Massen von Daten erhoben werden, 
mit unvorhersehbaren Auswirkungen 
auf die Entwicklung dieser Generation. 
Kinder tragen hier die Konsequenzen 
der Datenverarbeitung am stärksten 
und am längsten?, wodurch das Prinzip 
der Datensparsamkeit an Bedeutung ge- 
winnt. Wenn auch die Nutzung digita- 
ler Medien Potentiale besitzt, wirft der 
Umgang mit solchen Medien und Big 
Data neue ethische Fragen auf für die 
Erhebung und Verarbeitung personen- 
bezogener Daten, sowohl von Kindern, 
als auch von Erwachsenen’. Speziell 
stellt sich die Frage, welche Daten für 
welche Zwecke erhoben werden dür- 
fen und in welchem Rahmen diese Da- 
ten von Unternehmen genutzt werden 
dürfen. Auf Nutzerprofile abgestimmte 
und gezielt geschaltete Werbung wur- 
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de in den vergangenen Jahren gängig 
und wird obwohl sie einer bewussten 
Manipulation gleicht, von vielen Nut- 
zern toleriert. Kinder, die noch nicht in 
der Lage sind zu rekonstruieren woher 
welche Werbung kommt und dass diese 
ganz bewusst durch eigenes Verhalten 
in der Vergangenheit ausgelöst wurde, 
sollten vor solchen Absichten geschützt 
sein. Kinder sind wesentlich einfacher 
beeinflussbar, weil ihnen die techni- 
schen Hintergründe und Algorithmen 
nicht bekannt sind oder sie solche nicht 
verstehen. Livingstone wirft die Frage 
auf, ob die digitale Welt den Rechten 
von Kindern gerecht werden kann und 
wie sie auch Möglichkeiten für verletzli- 
che und benachteiligte Personen öffnen 
kann. Dabei steht nicht die digitale Le- 
benswelt gegen fundamentale Rechte, 
vielmehr gilt es, die digitale Welt zu 
nutzen, um Kindern über ihre eigenen 
Rechte aufzuklären und sie auf die ei- 
genen Rechte aufmerksam zu machen’, 
Nicht nur wann Eltern und Staat wofür 
Verantwortung übernehmen müssen, 
sondern wie sich verschiedene Rechte 
nicht gegenseitig widersprechen, defi- 
niert die Herausforderung. Kinder ha- 
ben einerseits das Recht auf Bildung, 
auf Information und Medien ihrer Wahl 
und andererseits auf Privatsphäre und 
den Schutz vor Gewalt und auf die Frei- 
heit sich auszudrücken. Wie kann der 
Schutz, auf den Kinder ein Recht haben, 
gewährleistet werden, während ihnen 
auch die Freiheit gegeben werden soll, 
die ihnen zusteht?!! 

Wie bedeutsam und ausbaufähig in 
diesem Kontext der Datenschutz für 
Kinder ist, belegt etwa der Annual Pri- 
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vacy Sweep 2015 des Global Privacy 
Enforcement Network'?: Aus den Ergeb- 
nissen geht u. a. hervor, dass auf den 
untersuchten Webseiten und Apps viele 
datenschutzbezogene Texte für Kinder 
unverständlich sind und überarbeitet 
werden müssten. Auf vielen Seiten wer- 
den zu viele Daten gesammelt, die nicht 
gesammelt werden müssten. Laut der 
Pressemitteilung des GPEN 2016 wurden 
rund 60% der Nutzer nicht ausreichend 
über die Datenerhebung informiert, 
ebenso nicht darüber, wie Daten weiter- 
verarbeitet werden. 67% der untersuch- 
ten Websites/Apps sammeln persönliche 
Daten von Kindern. Lediglich 31% ver- 
fügten über wirksame Kontrollen, um 
die Erfassung personenbezogener Daten 
von Kindern einzuschränken. 


II. Die EU-Datenschutz-Grundverord- 
nung und ihre Regelungen für Kinder 


Der Schutz von Kindern nimmt - an- 
ders als im bisherigen BDSG - in der 
EU-Datenschutz-Grundverordnung 
eine wichtige Rolle ein’? und stellt im 
deutschen Datenschutzrecht ein No- 
vum dar'‘. Das neue Datenschutzrecht 
reagiert so auf die eingangs beschrie- 
benen Entwicklungen und Herausfor- 
derungen. Regelungen für den Daten- 
schutz speziell für Kinder (Minderjäh- 
rige) sind in die DSGVO integriert und 
finden sich an verstreuten Fundstellen, 
z.T.inden Erwägungsgründen (Tabelle 1 
enthält eine Übersicht der Fundstel- 
len). Anders als in den USA, wo mit dem 
Children’s online Privacy Protection Act 
(COPPA)” für die Altersgruppe unter 
13 Jahren eine detailreiche und spezi- 


fische Vorschrift vorliegt, die etwa die 
Datenerhebung, das Tracking, die Ein- 
willigung der Eltern (und ihre Form) 
oder Informationspflichten und Aus- 
kunftsrechte regelt. 

Die zentrale Aussage und Begründung 
zur besonderen Schutzwürdigkeit von 
Kindern und ihren personenbezogenen 
Daten enthält die DSGVO im ErwG 38: 

„Kinder verdienen bei ihren personen- 
bezogenen Daten besonderen Schutz, da 
Kinder sich der betreffenden Risiken, Fol- 
gen und Garantien undihrer Rechte beider 
Verarbeitung personenbezogener Daten 
möglicherweise weniger bewusst sind. Ein 
solcher besonderer Schutz sollte insbeson- 
dere die Verwendung personenbezogener 
Daten von Kindern für Werbezwecke oder 
für die Erstellung von Persönlichkeits- 
oder Nutzerprofilen und die Erhebung von 
personenbezogenen Daten von Kindern 
bei der Nutzung von Diensten, die Kindern 
direkt angeboten werden, betreffen. Die 
Einwilligung des Trägers der elterlichen 
Verantwortung sollte im Zusammenhang 
mit Präventions- oder Beratungsdiensten, 
die unmittelbar einem Kind angeboten 
werden, nicht erforderlich sein.” 

Auf den Schutz der Privatsphäre von 
Kindern im Internet - wie sie die Kinder- 
rechtskonvention der UN in Art. 16 
fordert - wurde vor der Neuregelung in 
keinem Gesetz speziell eingegangen, 
das BDSG (alt) berief sich auf die Ein- 
sichtsfähigkeit der Nutzer, die von Kin- 
dern nicht erwartet werden könne. Der 
Bundesgerichtshof stellte bereits im 
Jahr 2014 fest!°: „Es könne nicht davon 
ausgegangen werden, dass Minderjähri- 
ge ab dem 15. Lebensjahr grundsätzlich 
bereits die nötige Reife hätten, die Trag- 
weite einer Einwilligungserklärung zur 
Datenspeicherung und -verwendung für 
Werbezwecke zu erkennen.” Minderjäh- 
rige können ihre Persönlichkeitsrechte 
in dem Maße wahrnehmen, wie sie zur 
Einsicht in die Bedeutung dieser Rech- 
te fähig sind. Die Dynamik jedes Ent- 
wicklungsprozesses bedingt, dass die 
Einsichtsfähigkeit grundsätzlich nicht 
abstrakt, sondern jeweils nur konkret 
und individuell vorgenommen werden 
kann’. Deshalb müsste eigentlich in je- 
dem Einzelfall beurteilt werden, ob ein 
Minderjähriger die Bedeutung der Wei- 
tergabe seiner Daten versteht und sich 
auf dieser Basis selbst für eine Preisgabe 
entscheiden kann. 
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Besonderer Schutz der Daten von Kindern 


Risiken für die Rechte und Freiheiten 


natürlicher Personen 


Bedingungen für die Einwilligung eines 


Kindes in Bezug auf Dienste der 


Informationsgesellschaft 


Rechtmäßigkeit der Verarbeitung — 


berechtigtes Interesse 


Transparente Information, 


Art. 6 Abs. 1 lit. f 


Art. 12 Abs. 1 


Kommunikation und Modalitäten für die 


Ausübung der Rechte der betroffenen 


Person 


Recht auf Löschung (insbes. Kinder, ggf. 


nach Volljährigkeit) 


Art. 17 Abs. 1lit. f 


ErwG 58 


ErwG 65 


Aufgaben der Aufsichtsbehörden Art. 57 Abs. 1lit. b FE 
Verhaltensregeln Art. 40 Abs. 2 lit. g | 


Tabelle 1: Kinder-relevante Fundstellen in der DSGVO 


Mit stetigem Zuwachs der Nutzung 
von Social-Media-Diensten hat auch 
eine solche Nutzung durch Kinder un- 
ter 16 Jahren anhaltend zugenommen. 
Die Anbieter haben sich dabei bisher 
über die Zustimmung ihrer Nutzungs- 
bedingungen abgesichert und dabei 
mit einem Mindestalter von 13 Jahren 
agiert (wobei diese Altersgrenze durch 
eine falsche Angabe des Geburtsdatums 
leicht zu umgehen war, siehe oben die 
Ergebnisse der KIM-Studie). Seit der 
Gültigkeit der DSGVO haben erste An- 
bieter (z. B. WhatsApp, Instagram oder 
Twitter) ihre Altersgrenze in den letzten 
Wochen bereits auf 16 Jahre angeho- 
ben'® und auch Accounts jüngerer Min- 
derjähriger gelöscht. 

Grundsätzlich bleibt in der DSGVO das 
„Verbotsprinzip mit Erlaubnisvorbehalt” 
bestehen"?. Damit ist eine Verarbeitung 
personenbezogener Daten nur dann 
zulässig, wenn einer der in Art. 6 der 


184 


DSGVO benannten Erlaubnistatbestän- 
de vorliegt. 

Einer der für Unternehmen gangbaren 
Erlaubnistatbestände ist die Einwilli- 
gung, deren Bedingungen generell in 
Art. 7 DSGVO geregelt sind. Dieser Er- 
laubnistatbestand erhält nun allerdings 
für die Personengruppe der Kinder undin 
Bezug auf die sog. Dienste der Informati- 
onsgesellschaft in Art. 8 eine gesonderte 
Regelung, die die besondere Schutzwür- 
digkeit und eine ggf. noch nicht hinrei- 
chend ausgeprägte Einsichtsfähigkeit 
umzusetzen versucht. Eine Einwilligung 
ist danach nur rechtmäßig, wenn das 
Kind das sechzehnte Lebensjahr vollen- 
det hat; bei diesen Minderjährigen wird 
die erforderliche Einsichtsfähigkeit an- 
genommen”. Bei jüngeren Kindern ist 
eine Einwilligung durch den Träger der 
elterlichen Verantwortung für das Kind 
erforderlich oder dessen Zustimmung, 
realisierbar z. B. über ein double opt-in. 


Für die Bestimmung eines Dienstes 
der Informationsgesellschaft wird in 
Art. 4 der DSGVO auf die EU-Richtlinie 
2015/1535 verwiesen, wonach „jede in 
der Regel gegen Entgelt elektronisch im 
Fernabsatz und auf individuellen Abruf 
eines Empfängers erbrachte Dienstleis- 
tung” gemeint ist. Diese Angebote sollen 
„einem Kind direkt gemacht“ werden. 
Dabei darf wohl davon ausgegangen 
werden, dass nicht nur ausschließlich 
an Kinder gerichtete Angebote gemeint 
sind, sondern dass ebenfalls Angebote, 
die sich auch an Kinder (neben Erwach- 
senen) richten, diesen Bedingungen un- 
terstehen. 

Hinsichtlich der Altersgrenze enthält 
Art. 8 Abs. 1 eine Öffnungsklausel für 
die Mitgliedsstaaten. Diese können eine 
niedrigere Altersgrenze festlegen, die 
das vollendete dreizehnte Lebensjahr 
nicht unterschreiten darf. Diese Öff- 
nungsklausel haben Mitgliedsstaaten 
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für unterschiedliche Festlegungen zwi- 
schen 13 und 16 Jahren genutzt, womit 
in diesem Punkt eine EU-weite Har- 
monisierung leider kaum stattfindet?!. 
Deutschland hat diese Öffnungsklausel 
nicht genutzt. Zur Sicherstellung, dass 
tatsächlich ein Erziehungsberechtigter 
einwilligt, verlangt die DSGVO in Art. 8 
Abs. 2 vom Verantwortlichen angemesse- 
ne Maßnahmen „unter Berücksichtigung 
der verfügbaren Technik“, die im Rah- 
men der Kontroll- und Nachweispflich- 
ten auch zu belegen sind. Ob ein Alter- 
scheck, wie ihn WhatsApp einführen will, 
hinreicht - Nutzer sollen ihr Alter bestä- 
tigen, eine Kontrolle soll hingegen nicht 
stattfinden - darfbezweifelt werden. 

Ein weiterer Erlaubnistatbestand ist 
die Verarbeitung im berechtigten Inter- 
esse des Verantwortlichen - der Auffang- 
tatbestand der DSGVO”. Diese erfordert 
eine Abwägung, denn sie greift nur, so- 
fern nicht die schutzwürdigen Interessen 
oder Grundrechte und Grundfreiheiten 
der betroffenen Person überwiegen. Die 
dafür erforderliche Interessensabwä- 
gung ist immer dann besonders sorgfäl- 
tig durchzuführen, „wenn es sich bei der 
betroffenen Person um ein Kind handelt” 
(DSGVO Art. 6 Abs. 1 lit. f). Dabei ist dem 
Schutzbedürfnis von Kindern in beson- 
derem Maße Rechnung zu tragen?®. 

Weitere spezielle Regeln und Hinweise 
- spezifisch ausgerichtet auf die Verar- 
beitung von Daten von Kindern - finden 
sich unter den Transparenz- und Infor- 
mationspflichten sowie den Rechten der 
Betroffenen. Die Informationspflichten 
müssen nach Art. 12 Abs. 1 in präziser, 
transparenter, verständlicher und leicht 
zugänglicher Form in einer klaren und 
einfachen Sprache bereitgestellt werden. 
Dem folgt die Aussage, dass dies insbe- 
sondere für Informationen gilt, die sich 
speziell an Kinder richten. Eine Erläute- 
rung wird in ErwG 58 gegeben, der mit 
Bezugnahme auf die besondere Schutz- 
würdigkeit von Kindern Informationen 
und Hinweise fordert, die in einer klaren 
und einfachen Sprache gegeben werden, 
so „dass ein Kind sie verstehen kann“. 

Unter den Rechten der Betroffenen 
wird indirekt Kindern bezüglich dem 
„Recht auf Vergessenwerden” (Art. 17 
DSGVO) und damit der Löschung von 
Daten insbes. dann ein besonderer Stel- 
lenwert zugeschrieben (ErwG 65), wenn 
eine Einwilligung noch im Kindesalter 
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erfolgt ist und insofern die betroffene 
Person „die mit der Verarbeitung verbun- 
denen Gefahren nicht in vollem Umfang 
absehen konnte und die personenbe- 
zogenen Daten - insbesondere die im 
Internet gespeicherten - später löschen 
möchte“. 

Wichtig ist zudem, dass die DSGVO 
verlangt, dass von Verarbeitungen, die 
als automatisierte Einzelentscheidun- 
gen einschließlich Profiling” (Art. 22 
DSGVO) gelten und in ErwG 71 näher 
erläutert werden, kein Kind betroffen 
sein sollte (ErwG 71). Ob diese Aussage 
als generelles Verbot der Anwendung 
von Big Data-Methoden auf Kinder aus- 
gelegt werden kann bzw. in welchen 
konkreten Fällen eine diesbezügliche 
Einschränkung gilt, muss letztlich offen 
bleiben. Der Europäische Datenschutz- 
ausschuss (European Data Protection 
Board) vertritt in seinen Leitlinien” 
nicht die Ansicht, dass diese Aussage 
ein absolutes Verbot einer solchen Art 
der Verarbeitung in Bezug auf Kinder 
darstellt. In Anbetracht der Erwägun- 
gen im ErwG 71 empfiehlt der Ausschuss 
jedoch, sich nicht auf die Ausnahmen 
in Art. 22 Abs. 2 zu berufen, um eine 
solche Verarbeitung in Bezug auf Kin- 
der zu rechtfertigen, außer wenn dies 
etwa zum Schutz ihres Wohlergehens 
geschieht. Der für die Verarbeitung Ver- 
antwortliche hat in diesen Fällen für 
Kinder geeignete Schutzmaßnahmen 
zu treffen und sicherzustellen, dass die- 
se Maßnahmen die Rechte, Freiheiten 
und berechtigten Interessen der Kinder 
wirksam schützen. 

Risiken für die Rechte und Freihei- 
ten natürlicher Personen können aus 
verschiedenen - in ErwG 75 benannten 
- Verarbeitungen personenbezogener 
Daten hervorgehen. In diesem Kontext 
werden schutzbedürftige natürliche 
Personengruppen genannt, insbes. 
Kinder. Der Europäische Datenschutz- 
ausschuss führt daraus abgeleitet in 
seinen Leitlinien zur Datenschutz- 
Folgenabschätzung (DSFA)* unter den 
Kriterien, die als Anhaltspunkt für die 
Durchführung einer DSFA zu prüfen 
sind, solche schutzwürdigen Perso- 
nengruppen auf und nennt ausdrück- 
lich auch Kinder (mit dem Zusatz: „bei 
ihnen kann nicht davon ausgegangen 
werden, dass sie in der Lage sind, der 
Verarbeitung ihrer Daten wissentlich 


und überlegt zu widersprechen bzw. 
zuzustimmen“). 

Die DSGVO gibt Verbänden und ande- 
ren Vereinigungen, die Kategorien von 
Verantwortlichen oder Auftragsverar- 
beitern vertreten, die Möglichkeit Ver- 
haltensregeln ausarbeiten, mit denen 
die Anwendung der Verordnung präzi- 
siert wird. Dabei wird u. a. „Unterrich- 
tung und Schutz von Kindern und Art 
und Weise, in der die Einwilligung des 
Trägers der elterlichen Verantwortung 
für das Kind einzuholen ist” genannt 
(Art. 40 Abs. 2, lit. qg DSGVO). 

Die Bundesbeauftragte für den Da- 
tenschutz und die Informationsfreiheit 
(BfDI) wird in & 14 BDSG (neu) ver- 
pflichtet, die Öffentlichkeit für Risiken, 
Vorschriften, Garantien und Rechte im 
Zusammenhang mit der Verarbeitung 
personenbezogener Daten zu sensibili- 
sieren und sie darüber aufzuklären und 
dabei insbesondere spezifische Maß- 
nahmen für Kinder zu treffen. 


III. Diskussion 


Die Verbreitung digitaler Medien 
führt zu einer kaum vermeidbaren flä- 
chendeckenden Mediatisierung des 
Alltags. Viele Vorgänge benötigen dabei 
personenbezogene Daten, erheben je- 
doch - oft weitgehend unbemerkt - wei- 
tere, für den eigentlichen Zweck nicht 
notwendige Daten. Während sich Tech- 
nik stetig entwickelt, hält die Entwick- 
lung des Bewusstseins der Nutzer kaum 
Schritt. Wann und wie Daten gesammelt 
werden oder dass dies überhaupt ge- 
schieht, ist vielen Nutzern kaum in vol- 
lem Umfang bewusst. Vor allem Kinder 
wissen zwar, wie sie soziale Netzwerke 
nutzen können, wie sie Freunde und Be- 
kannte finden und auf Inhalte stoßen, 
die ihnen gefallen, wie sie mit anderen 
Nutzern in Kontakt treten oder Inhalte 
teilen können. Allerdings scheinen ge- 
rade auch junge Nutzer sich möglicher 
Konsequenzen wenig bewusst zu sein. 
„Bereits wenige vorhandene Daten wie 
das Klickverhalten eines Nutzers kön- 
nen Auskunft über zum Teil sehr sensi- 
tive Informationen zur sexuellen oder 
politischen Einstellung geben.”? 

„selbstdatenschutz umfasst sowohl 
den Einsatz von PET (z. B. Pretty Good 
Privacy (PGP)-Verschlüsselung, Nutzung 
des Tor-Netzwerks, Cookie-Blocker) als 
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auch allgemein taktisches Handeln (Ver- 
meidung bestimmter digitaler Dienste 
und Medien), kulturelles Umdenken so- 
wie den Erwerb medientechnischer Kom- 
petenzen. Individuen sollen in die Lage 
versetzt werden, Risiken im Umgang 
mit Informationstechnologien selbst 
einschätzen sowie alle erforderlichen 
Maßnahmen treffen zu können, um dem 
Risiko, überwacht zu werden, so weit 
als möglich zu entgehen.””® Dass Kin- 
der durch die Entwicklung der sozialen 
Medien und vermehrte Mediennutzung 
eines besonderen Schutzes bedürfen, 
scheint ein logischer Schluss - durch 
eine weniger stark ausgeprägte Urteils- 
und Einsichtsfähigkeit, die Kinder mit- 
bringen?®, sollte ihnen nicht die alleinige 
Verantwortung bei der Mediennutzung 
übertragen werden. Der Datenschutz 
muss diesem Umstand Rechnung tragen 
und durch entsprechende Regulierung in 
gewissem Grade einen Schutz für Kinder 
gestalten. Das neue Datenschutzrecht 
der EU istin diesem Sinne tatsächlich ein 
Fortschritt bei der angemessenen Gestal- 
tung von Kinder- und Jugendrechten im 
digitalen Zeitalter”. Hinter den punk- 
tuellen Vorschriften steht allerdings er- 
sichtlich kein Gesamtkonzept?!. So wird 
ansatzweise zwar die Forderung nach 
Schutz der Privatsphäre in Art. 16 der 
UN-Kinderrechtskonvention abgebildet, 
ob hingegen mit der o. g. Einwilligungs- 
regelung der Kindeswillen angemessen 
berücksichtigt (Art. 12 Kinderrechtskon- 
vention) wird, bleibt dahingestellt. 

Auch spezifische Fragen bleiben auch 
nach Einführung der DSGVO bestehen. 
Eine zentrale Frage betrifft die prakti- 
sche Umsetzung der Regelung, dass Min- 
derjährige das 16. Lebensjahr beendet 
haben müssen, um Social-Media-Dienste 
nutzen zu dürfen. Wie kann sicher- 
gestellt werden, dass die Kinder entwe- 
der alt genug sind oder tatsächlich ihre 
Eltern die Einwilligung für Kinder unter 
16 Jahren erteilt haben? Hier fehlen kla- 
re und rechtssichere Vorgaben. 

Persönliche Informationen von Kin- 
dern werden im Netz häufig von Eltern 
geteilt. Einen wirksamen Schutz der 
Kinder vor dieser elterlichen Verletzung 
der Privatsphäre leistet das EU-Daten- 
schutzrecht nicht. 

Zudem sollte in der Forschung inten- 
siver der Frage nachgegangen werden, 
wann Kinder wirklich die Einsichts- 
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fähigkeit besitzen, um Social-Media- 
Dienste eigenständig zu nutzen. Wohl 
kaum ist dies an einem bestimmten Al- 
ter pauschal für alle Kinder bestimmbar. 
Kinder entwickeln in unterschiedlichem 
Alter die nötige Einsichtsfähigkeit und 
die Reife, die es braucht, um mögliche 
Konsequenzen einer Datenverarbeitung 
abschätzen zu können. Je nach Entwick- 
lung des Kindes und der betroffenen 
Daten müsste individuell entschieden 
werden, wann Kindern eine eigenstän- 
dige Nutzung zugetraut werden kann?. 
Dabei ist einerseits das Verwehren des 
Zugangs in Bezug auf soziale Ausgren- 
zung zu beachten, andererseits die 
Gefahr durch Unwissenheit Daten zu 
teilen, die im späteren Leben zu unge- 
ahnten Konsequenzen führen können. 
Zudem scheint eine Altersgrenze von 16 
Jahren im Zeitalter der Digitalisierung 
kaum zeitgemäß und umsetzbar. Eine 
Art Vorstufe wäre dabei hilfreich, wobei 
vermutlich die Eltern tiefer einbezogen 
werden müssten, was die Umsetzung er- 
schweren würde. Eine feste Integration 
in die Lehrpläne bereits in den ersten 
Jahren weiterführender Schulen scheint 
unumgänglich, um Kindern Medienkom- 
petenz - zu der heute selbstverständlich 
auch eine Datenschutzkompetenz ge- 
hören muss - zu vermitteln und damit 
Selbstdatenschutz aufzubauen. Ergän- 
zend dazu wäre ein Bildungsangebot auf 
digitalem Weg denkbar, wobei Kinder 
spielend an das komplexe Thema her- 
angeführt und gut ausgebildet werden, 
um sich selbst schützen zu können, wo 
rechtliche Rahmen nicht ausreichend 
Schutz bieten können. Ein Beispiel 
wäre ein Serious Game, das es Kindern 
ermöglicht Erfahrungen zu sammeln, 
ohne dass bereits echte Konsequenzen 
entstehen, ihnen aber aufzeigt, was pas- 
siert, wenn sie leichtfertig oder unnötig 
Daten teilen, ohne auf die eigene Privat- 
sphäre zu achten. 
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NGOs fordern EU-Rat zum Beschluss über qualifizierte 
ePrivacy-Verordnung auf 


Der Spiegel titelt derzeit „Das Internet 
ist kaputt”. Die Einsicht, dass grund- 
rechtswidrige Geschäftsmodelle und un- 
kontrollierte Falschnachrichten im welt- 
weiten Netz unsere Freiheiten und unsere 
Demokratie schädigen, ist nicht mehr 
nur eine Erkenntnis europäischer Bür- 
gerrechtsorganisationen, sondern wird 
immer mehr selbst im Silicon Valley aner- 
kannt. Regulierung ist gefordert. Europa 
hat hierzu mit der Datenschutz-Grundver- 
ordnung einen ersten Schritt gemacht. 
Nach Ansicht von vielen europäischen 
und 16 deutschen Nichtregierungsorga- 
nisationen (NGOs) - Bürgerrechts-, Ver- 
braucherschutz- und Berufsverbänden - 
muss der nächste Schritt die schnelle Ver- 
abschiedung der ePrivacy-Verordnung in 
Europa sein. Schon seit zwei Jahren liegen 
hierzu die Vorschläge der EU-Kommission 
vor. Seit einem Jahr sind Verbesserungs- 
vorschläge des EU-Parlaments bekannt. 
Doch der EU-Rat, in dem die deutsche 
Bundesregierung vertreten ist, blockiert 
die weitere Verabschiedung. 

In einem offenen Brief, der an Wirt- 
schaftsminister Peter Altmaier, Justiz- 
und Verbraucherschutzministerin Ka- 


tarina Barley und Innenminister Horst 
Seehofer gerichtet ist, fordern nun die 
16 NGOs von der Bundesregierung, die 
qualifizierte Regulierung des Daten- 
schutzes im Bereich der Telekommuni- 
kation voranzutreiben und damit sowohl 
den dominanten US-Unternehmen wie 
auch der europäischen Internet-Lobby 
klarzumachen, dass im Internet freiheit- 
liche und demokratische Werte gelten 
müssen, indem das ungebremste Daten- 
sammeln über Netznutzung und die Mas- 
senüberwachung verhindert werden und 
der rechtliche Schutz der elektronischen 
Kommunikation gesichert wird. 

Frank Spaeing, Vorsitzender der Deut- 
schen Vereinigung für datenschutz Da- 
tenschutz e. V. (DVD): „Der aktuelle Vor- 
sitz des EU-Rats, Österreich, zeigt keine 
Neigung, den Internet-Regulierungspro- 
zess voranzutreiben. Auch die Bundes- 
regierung bremste bisher nach heftigem 
Wirtschaftslobbyismus insbesondere aus 
der IT-Wirtschaft den dringend nötigen 
Regulierungsprozess. Das muss sich än- 
dern. Wir brauchen endlich moderne 
technikkonforme Regeln für den Bereich 
der Telekommunikation.” 


Werner Hülsmann, stellvertretender 
DVD-Vorsitzender: „Technischer Fort- 
schritt darf nicht zulasten der Bürger- 
rechte stattfinden. Derzeit profitieren 
von der unterregulierten elektronischen 
Kommunikation insbesondere die US-Fir- 
men Google und Facebook. Chinesische 
Firmen drängen auf den europäischen 
Markt. Eine schnelle qualifizierte Verab- 
schiedung der ePrivacy-Verordnung und 
deren strenge Durchsetzung auf dem 
europäischen Markt ist der beste Schutz 
der einheimischen IT-Wirtschaft vor einer 
bisher ungebändigten US-amerikani- 
schen und chinesischen Konkurrenz.” 

Der offene Brief wird neben der Deut- 
schen Vereinigung für Datenschutz 
(DVD) u. a. unterstützt vom Arbeitskreis 
Vorratsdatenspeicherung, dem Bund de- 
mokratischer Wissenschaftlerinnen und 
Wissenschaftler, digitalcourage und dem 
Verbraucherzentrale Bundesverband. 

Den Offenen Brief zum Schutz der 
elektronischen Kommunikation finden 
Sie unter https://dvd-ev.de/Brief-ePriv 
oder https://www.datenschutzverein. 
de/wp-content/uploads/2018/10/ 
ePrivacy-Appell-Altmeier.pdf. 


Presserklärung des Gerichtshofs der Europäischen Union (EuGH) 


Vorabentscheidungssachen zu natürlichen Personen 
werden künftig anonymisiert 


Nachdem die neue Datenschutz- 
Grundverordnung (DSGVO) seit kurzem 
gilt und demnächst die Datenschutz- 
verordnung für die Organe der Euro- 
päischen Union in Kraft treten wird, 
hat der Gerichtshof beschlossen, den 
Schutz der Daten natürlicher Personen 
bei Veröffentlichungen zu Vorabent- 
scheidungssachen zu verbessern. 
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Damit folgt er einer innerhalb der Mit- 
gliedstaaten beobachteten Tendenz zur 
Verbesserung des Schutzes personenbe- 
zogener Daten im Kontext immer vielfäl- 
tigerer Such- und Verbreitungsinstru- 
mente. In der jüngeren Rechtsprechung 
des Gerichtshofs zeigt sich diese Ten- 
denz im Übrigen in einer wachsenden 
Anzahl von Urteilen auf diesem Gebiet, 


die zu Fragen wie dem Recht auf Ent- 
fernung von Links aus Ergebnislisten 
in Suchmaschinen, der Gültigkeit der 
Entscheidung der Kommission, in der 
festgestellt wurde, dass die Vereinigten 
Staaten von Amerika ein angemesse- 
nes Schutzniveau übermittelter per- 
sonenbezogener Daten gewährleisten 
würden, der Gültigkeit des Abkommens 
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über die Übermittlung und Verarbei- 
tung von Fluggastdatensätzen (Passen- 
ger Name Record data - PNR) zwischen 
der Europäischen Union und Kanada, 
der Verantwortlichkeit der Betreiber 
von Facebook-Fanpages oder auch der 
Rechtmäßigkeit der Speicherung per- 
sonenbezogener Daten durch Betreiber 
von elektronischen Kommunikations- 
diensten ergangen sind. 

Damit sowohl der Schutz der Daten 
von an Vorabentscheidungssachen be- 
teiligten natürlichen Personen als auch 
die Information der Bürger und die Öf- 
fentlichkeit der Justiz gewährleistet 
werden, hat der Gerichtshof daher für 
alleab 1. Juli 2018 anhängig gemachten 
Vorabentscheidungssachen entschie- 
den, in allen seinen veröffentlichten 
Dokumenten den Namen der an der 
Rechtssache beteiligten natürlichen 
Personen durch Anfangsbuchstaben 
zu ersetzen. Ebenso werden alle ergän- 
zenden Details, anhand deren die Be- 
troffenen identifiziert werden können, 
weggelassen. 

Diese neuen Leitlinien werden für 
alle Veröffentlichungen im Rahmen der 
Bearbeitung der Rechtssache von ih- 
rer Einreichung bis zu ihrem Abschluss 
(Mitteilungen im Amtsblatt, Schlussan- 
träge, Urteile...) sowie für die Rechtssa- 


chenbezeichnung gelten. Sie betreffen 
nicht juristische Personen, denen der 
Gerichtshof auf ausdrücklichen Antrag 
einer Partei oder sofern die besonderen 
Umstände der Rechtssache es rechtfer- 
tigen, die Möglichkeit einer Ausnahme 
vorbehält. 

Um die Zitierung und die Identifizie- 
rung der anonymisierten Rechtssachen 
zu erleichtern, wird jeder Rechtssache 
durch den Gerichtshof eine übliche Be- 
zeichnung nach den folgenden Modali- 
täten zugeteilt: 

-Wird die Rechtssache ausschließlich 
zwischen natürlichen Personen geführt, 
so wird die Rechtssachenbezeichnung 
aus zwei Anfangsbuchstaben bestehen, 
die für den Vor- und Nachnamen der Klä- 
gerpartei stehen, jedoch nicht mit dem 
tatsächlichen Vor- und Nachnamen die- 
ser Partei übereinstimmen. Zur Verhin- 
derung der Häufung von Rechtssachen 
mit den gleichen Anfangsbuchstaben 
(und da die Zahl der möglichen Buch- 
stabenkombinationen nicht unbegrenzt 
ist) wird der Gerichtshof diesen beiden 
Anfangsbuchstaben in Klammern ein 
Unterscheidungsmerkmal hinzufügen. 
Dieses zusätzliche Element kann sich 
auf den Namen einer juristischen Per- 
son, die, ohne im Rechtsstreit Partei zu 
sein, genannt wird oder von der Rechts- 


sache betroffen ist, oder auch auf den 
Gegenstand oder die Problematik des 
Rechtsstreits beziehen. Diese letztere 
Methode wurde beispielsweise im jüngs- 
ten Urteil des Gerichtshofs vom 26. Juni 
2018 in der Rechtssache C-451/16, MB 
(Geschlechtsumwandlung und Ruhe- 
standsrente), angewandt. 

- Zählen in der Rechtssache natür- 
liche und juristische Personen zu den 
Parteien, so wird die Rechtssache den 
Namen einer der juristischen Personen 
als Bezeichnung führen. Handelt es sich 
jedoch um eine Behörde, die regelmä- 
Rßig Parteistellung vor dem Gerichtshof 
hat (z. B. Finanzminister), wird der 
Rechtssachenbezeichnung ebenfalls 
ein Unterscheidungsmerkmal beigefügt 
werden. 

Zuletzt ist noch darauf hinzuweisen, 
dass die oben dargestellten Maßnah- 
men einen angemessenen Schutz per- 
sonenbezogener Daten im Rahmen der 
Veröffentlichungen des Gerichtshofs 
gewährleisten sollen. Sie betreffen we- 
der die Art und Weise der Bearbeitung 
der Rechtssachen durch den Gerichts- 
hofnoch den üblichen Verfahrensablauf 
und insbesondere nicht die mündlichen 
Verhandlungen, die weiterhin nach den 
derzeitigen Modalitäten ablaufen wer- 
den (EuGH PM Nr. 96/18 v. 29.06.2018). 


Veröffentlichung gemäß Bayerischem Ministerratsbeschluss vom 5. Juni 2018 


Datenschutz-Grundverordnung (DSGVO): 
Der Bayerische Weg zu einer bürgernahen und mittel- 
standsfreundlichen Anwendung 


Der Ministerrat beschließt nach- 
folgenden Bayerischen Weg zu einer 
bürgernahen und mittelstandsfreund- 
lichen Anwendung des Datenschutz- 
rechts, die die Ziele der Datenschutz- 
Grundverordnung sachgerecht und mit 
Augenmaß verfolgt und damit auch 
ihre Akzeptanz in der Bevölkerung 
fördert: 

- Kein Amateursportverein, keine Mu- 
sikkapelle oder sonstige vor allem 
durch ehrenamtliches Engagement 
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getragene Vereine müssen einen Da- 
tenschutzbeauftragten bestellen. 

- Bei einem Erstverstoß im Dickicht 
der Datenschutzregeln drohen keine 
Bußgelder; Hinweise und Beratung 
haben Vorrang vor Sanktionen. 

- Wir werden eine Praxis von Abmahnan- 
wälten, die glauben bei Unternehmen 
formelle Datenschutzverstöße rechts- 
missbräuchlich abmahnen und abkas- 
sieren zu können, nicht hinnehmen. 

- Wir werden mit den Betroffenen weite- 


re Bestimmungen im Datenschutzrecht 
identifizieren, bei deren Anwendung 
im Besonderen darauf hinzuwirken 
ist, dass die Ziele der Datenschutz- 
Grundverordnung sachgerecht und mit 
Augenmaß verfolgt werden. 

- Hierzu werden wir weitere Gespräche 
mit Vereinen und Mittelständlern an- 
bieten. 

Quelle: Allgemeines Ministerialblatt 

der bayerischen Staatsregierung Nr. 9 

v. 31.07.2018, S. 451 
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Bayerisches Landesamt für Datenschutzaufsicht 


Klingelschild und Datenschutz 


Nachdem nun nicht mehr nur eine 
Wiener Wohnungsbaugesellschaft 
ihre unsinnigen Pläne veröffent- 
licht hat, wegen der Datenschutz- 
Grundverordnung (DS-GVO) Klingel- 
schilder bei Wohnblocks zu entfer- 
nen, sondern es auch in Deutschland 
derartige Bestrebungen gibt, ist es 
notwendig, klar und deutlich darauf 
hinzuweisen, dass es eine derartige 
Notwendigkeit aus datenschutzrecht- 
lichen Gründen nicht gibt. 


Die Namen auf Klingelschildern sind 
personenbezogene Daten. Die Daten- 
schutz-Grundverordnung gilt für die 
„ganz oder teilweise automatisierte 
Verarbeitung personenbezogener Daten 
sowie für die nicht automatisierte Ver- 
arbeitung personenbezogener Daten, 
die in einem Dateisystem gespeichert 
sind oder gespeichert werden sollen“. 
Das Anbringen von Klingelschildern 
ist keine automatisierte Verarbeitung. 
Selbst wenn man zu der kaum vertretba- 
ren Auffassung gelangen sollte, dass ge- 
druckte Namensschilder der Bewohner 
aus einer automatisierten Verarbeitung 


entstanden sind und die Anordnung der 
Klingelschilder im Eingangsbereich in 
einem Dateisystem erfolgt, weil sie die 
Lage der Wohnung wiedergibt und es 
damit zu einer Anwendung der Daten- 
schutzgrundverordnung käme, wäre die 
Verarbeitung durch die Wohnungsbau- 
gesellschaft in aller Regel nach Art. 6 
Abs. 1 f DS-GVO datenschutzrechtlich 
zulässig. 

In Einzelfällen mag es gerechtfertigt 
sein, dass der (richtige) Name von Be- 
wohnern nicht auf dem Klingelschild 
steht. Bei gefährdeten prominenten 
Personen, Personen in einem Zeugen- 
schutzprogramm oder bei Personen, die 
durch Stalking bedroht werden, mag 
eine pseudonymisierte Bezeichnung auf 
dem Klingelschild gerechtfertigt sein. 
Eine datenschutzrechtliche Notwendig- 
keit, alle Klingelschilder zu pseudony- 
misieren, das heißt den Namen durch 
eine andere Kennzeichnung wie Ziffern 
oder Buchstabenkombinationen zu er- 
setzen, gibt es nicht. 

Zivilrechtlich, d.h. durch Hausord- 
nungen oder sonstigen Vertrag kann 
das Ob und Wie (z.B. einheitliches Er- 
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Datenschützer: Geplante Kontrolle der 


scheinungsbild) der Klingelschilder ge- 
regelt werden. Dabei kann dann auch 
berücksichtigt werden, ob man wirklich 
Postdienstleistern, Rettungsdiensten 
und sonstigen Besuchern das Auffinden 
von Bewohnern erschweren möchte. 

„Ich finde es sehr problematisch und 
auch sehr schade, dass durch diese un- 
sinnigen Behauptungen die sehr gute 
Datenschutz-Grundverordnung als Be- 
gründung für etwas herangezogen wird, 
was sie gar nicht fordert und sie damit 
als „weltfremdes europäisches Recht” 
diskreditiert wird. Äußerungen in der 
Art, dass ein Mieter sich nur bei der 
Aufsichtsbehörde beschweren müsse, 
wenn sein Klingelschild nicht entfernt 
werde und die Aufsichtsbehörde dann 
ein Bußgeld von 20 Mio. EUR verhängen 
werde, was rechtlich völlig ausgeschlos- 
sen ist, zeigt, dass es hier um Panikma- 
che oder Streben nach Medienpräsenz 
geht, aber jedenfalls nicht um wirkli- 
chen Datenschutz,” so Thomas Kranig, 
Präsident des Bayerischen Landesamtes 
für Datenschutzaufsicht. 


Thomas Kranig Präsident 


Dieselverfahrverbote ist verfassungswidrig” 


Die Vorschläge des Bundesverkehrs- 
ministeriums zur Überwachung von 
Dieselfahrverboten sind nach Einschät- 
zung der Deutschen Vereinigung für Da- 
tenschutz e. v. (DVD) eindeutig verfas- 
sungswidrig: Sie sehen vor, dass nicht 
nur Kfz, die gegen ein Fahrverbot ver- 
stoßen, per Kfz-Kennzeichen-Scanning 
und mit einem Fahrerbild automatisiert 
erfasst werden, sondern sämtliche Kfz 
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und deren Fahrzeugführer, die in eine 
Fahrverbotszone einfahren. 

Frank Spaeing, DVD-Vorsitzender: 
„Diese Totalerfassung ist unverhältnis- 
mäßig. Daran ändert sich auch nichts 
dadurch, dass die Daten der Kfz, für die 
keine Fahrverbotsmerkmale im Kraft- 
fahrtbundesamt (KBA) gespeichert 
sind, nach einer geplanten Datenüber- 
mittlung dorthin und einem Datenab- 


gleich wieder gelöscht werden sollen. 
Die bisher vorgesehene Regelung des 
Ministeriums ist zudem wegen ihrer 
Unbestimmtheit verfassungswidrig. 
Aus ihr ergibt sich nicht im Ansatz, 
welche Datenverarbeitung tatsächlich 
durchgeführt werden soll. Im Fall einer 
Normenkontrolle würde das Bundesver- 
fassungsgericht die geplante Regelung 
aufheben.” 
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Bild: iStock 


Werner Hülsmann, stellvertretender 
DVD-Vorsitzender, ergänzt: „Es gäbe da- 
tensparsamere technische Alternativen, 
etwa das Anbringen von RFID-Chips an 
fahrbeschränkte Dieselfahrzeuge, über 
die eine ausschließliche Erfassung sol- 


cher Kfz erreicht werden könnte. Da- 
tensparsamer wären natürlich auch die 
diskutierten blauen Plaketten, die von 
Polizeibeamten oder Ordnungsbehörden 
kontrolliert werden müssten. Das zent- 
rale Problem liegt aber unseres Erachtens 


nach ganz woanders: Die Fahrverbote 
werden von den Gerichten nur verhängt, 
weil die Politik die Kfz-Herstellernicht zur 
Nachrüstung schmutziger Dieselfahrzeu- 
ge verpflichtet. Würde diese Nachrüstung 
politisch durchgesetzt, dann würde nicht 
nur die Umwelt effektiver geschützt, es 
müssten auch überhaupt keine Kontrol- 
len durchgeführt und Daten erfasst wer- 
den. Hier wird, um die Kfz-Hersteller zu 
schonen, ein Überwachungsnetz über die 
Kfz-Nutzenden ausgeworfen.” 

Der offene Brief wird neben der Deut- 
schen Vereinigung für Datenschutz 
(DVD) u. a. unterstützt vom Arbeitskreis 
Vorratsdatenspeicherung, dem Bund de- 
mokratischer Wissenschaftlerinnen und 
Wissenschaftler, digitalcourage und dem 
Verbraucherzentrale Bundesverband. 


Den Offenen Briefzum Schutz der elekt- 
ronischen Kommunikation finden Sie un- 
ter https: //www.datenschutzverein.de/ 
wp-content/uploads/2018/11/2018- 
11-DVD-PM-Dieselfahrverbote.pdf 


Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. 


November 2018 


Der Datenschutzbeauftragte: 
Wettbewerbsvorteil für deutsche Unternehmen 
und Schutz von Verbraucherrechten 


Positionspapier zur Benennungspflicht eines betrieblichen Datenschutzbeauftragten 
in kleinen und mittelständischen Unternehmen 


Im Zuge der digitalen Transformation 
von Wirtschaft und Gesellschaft hat die Er- 
fassung und Verarbeitung von personen- 
bezogenen Daten rasant an Bedeutung 
gewonnen. Die Bundesregierung unter- 
streicht regelmäßig den herausragenden 
Stellenwert von Daten für die deutsche 
Wirtschaft. Sie sind mittlerweile zentraler 
Wettbewerbs- und Wachstumsfaktor für 
viele Unternehmen - nicht nur für Kon- 
zerne, sondern gerade auch für KMU. Vor 
dem Hintergrund fällt dem betrieblichen 
Datenschutzbeauftragten eine Schlüssel- 
rolle bei der Gewährleistung der rechtssi- 
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cheren Datenverarbeitung der Unterneh- 
men und dem Schutz der Grundrechte der 
betroffenen Personen, also derBürgerund 
Beschäftigten, zu. 


Datenschutzbeauftragte sorgen 
für sichere Umsetzung komplexer 
Vorschriften 


Durch die Europäische Datenschutz- 
Grundverordnung (DS-GVO) sind Unter- 
nehmen zur Einhaltung einer Reihe von 
komplexen und umfangreichen gesetz- 
lichen Vorgaben verpflichtet - und dies 


ganz unabhängig davon, ob die gesetz- 
lichen Bestimmungen die Benennung 
eines Datenschutzbeauftragten vor- 
schreiben. 

Die Gewährleistung der datenschutz- 
rechtlichen Vorgaben ist ein „moving 
target“, dasich die Anforderungen durch 
Auslegungen, Rechtsprechung und er- 
gänzende Richtlinien weiterentwickeln 
und verändern. Ohne die Unterstützung 
des betrieblichen Datenschutzbeauftrag- 
ten sind die meisten datenschutzrechtli- 
chen Vorgaben für kleine und mittelstän- 
dische Unternehmen ein „invisible tar- 
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get”. Sie erhalten kaum einen Zugang zu 
diesen Vorgaben und können somit die 
Einhaltung der datenschutzrechtlichen 
Anforderungen kaum gewährleisten. 
Der Datenschutzbeauftragte berät Unter- 
nehmen, kontrolliert und überwacht die 
Umsetzung, so dass sie die datenschutz- 
rechtlichen Anforderungen zuverlässig 
erfüllen können. Mit seinem Fachwissen 
schafft er Transparenz über die zu be- 
rücksichtigenden Regelungen und be- 
gleitet die Anwendung der rechtlichen 
Vorschriften. Er analysiert das Daten- 
schutzniveau des Unternehmens, berät 
bei Umsetzungsmaßnahmen, konzipiert 
notwendige Unternehmensrichtlinien, 
begleitet die erforderlichen Prozesse, 
schult Mitarbeiter im Datenschutz und 
unterstützt bei der Einhaltung der ge- 
setzlichen Rahmenbedingungen. 


Der Datenschutzbeauftragte hat aber 
nicht nur die Bedürfnisse und Ent- 
wicklungen der Unternehmen im Blick, 
sondern stellt zudem sicher, dass das 
Grundrecht auf informationelle Selbst- 
bestimmung, das Recht auf Daten- 
schutz, gewährleistet wird. Mit seinem 
Know-how und seiner Erfahrung unter- 
stützt er wirksame und praktikable Lö- 
sungen für den Datenschutz, die sowohl 
im Sinne der Wirtschaft als auch der 
Betroffenen sind. Für die Bürger und 
die Beschäftigten, deren personenbezo- 
gene Daten verarbeitet werden, stellt er 
somit zugleich den Qualitätsbeleg einer 
datenschutzkonformen Verarbeitung 
dar. Dieser Beleg kann durch das Un- 
ternehmen auch zur Positionierung und 
Abgrenzung vom Wettbewerb im In- und 
Ausland herangezogen werden. 

Die gesetzliche Benennungspflicht 
dient somit insbesondere dem Schutz 
der Bürger und Beschäftigten, die auf 
den Schutz ihrer persönlichen Daten im 
Rahmen von Datenverarbeitungsprozes- 
sen in Unternehmen und Behörden ver- 
trauen können. 


Handlungsempfehlungen: Modell 
des betrieblichen Datenschutzbe- 
auftragten als Wettbewerbsvorteil 
erhalten und zukunftsorientiert 
ausgestalten 


Der Datenschutzbeauftragte ist eine 
langjährige Erfolgsgeschichte des deut- 
schen Datenschutzrechts. Er hat eine 
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erhebliche entlastende Wirkung für die 
Unternehmen und sichert die Rechte 
der Bürger. Zur Fortschreibung dieser 
Erfolgsgeschichte schlagen wir folgende 
Maßnahmen vor: 


1 Die Funktion des betrieblichen und 
behördlichen Datenschutzbeauftrag- 
ten bleibt durch die Benennungs- 
pflicht auf nationaler Ebene veran- 
kert, um die Umsetzung der daten- 
schutzrechtlichen Anforderungen zu 
ermöglichen und die Rechte der Bür- 
ger in Zusammenhang mit der Verar- 
beitung ihrer Daten zu gewährleisten. 


2 Datenschutz muss viel stärker als bis- 
her als Wettbewerbs- und Standortvor- 
teil begriffen werden. Um diesen für 
die deutsche Wirtschaft erfolgreich zu 
nutzen und zu erhalten, müssen Da- 
tenschutzbeauftragte auch weiterhin 
intensiv in die Prozesse der Datenver- 
arbeitung eingebunden werden. 


3 Bürokratische Hürden müssen ab- 
gebaut werden, um die Umsetzung 
des Datenschutzrechts, insbesonde- 
re für den Mittelstand sowie Vereine 
und Institutionen, zu vereinfachen. 
Durch eine praxistaugliche Ausge- 
staltung von Dokumentationsanfor- 
derungen und die stärkere Einbezie- 
hung des Datenschutzbeauftragten 
bei diesen Tätigkeiten können deutli- 
che Erleichterungen geschaffen wer- 
den und effektiver Kosten gesenkt 
bzw. vermieden werden als dies mit 
einer Abschaffung der Benennungs- 
pflicht des Datenschutzbeauftragten 
möglich wäre. 


Mit der Umsetzung dieser Handlungs- 
empfehlungen werden kleine Organisa- 
tionen und mittelständische Unterneh- 
men spürbar entlastet. 


DATENSCHUTZ GESTALTEN 

Der Berufsverband der Datenschutz- 
beauftragten Deutschlands (BvD) e.V. 
vertritt die Belange von rund 1.600 
betrieblichen und behördlichen Daten- 
schutzbeauftragten und Beratern aus 
ganz Deutschland. 1989 gegründet, ist 
er die älteste Interessenvertretung der 
Branche. 


Prof. Dr. Alexander Roßnagel 

Leiter des Fachgebiets und Professor 
für Öffentliches Recht mit dem Schwer- 
punkt Recht der Technik und des Um- 
weltschutzes am Fachbereich Wirt- 
schaftswissenschaften der Universität 
Kassel. 


Prof. Dr. Jürgen Taeger 
Universitätsprofessor an der Carl von 
Ossietzky Universität Oldenburg und be- 
kleidet den Lehrstuhl für Bürgerliches 
Recht, Handels- und Wirtschaftsrecht 
sowie Rechtsinformatik. 


ADM. 


Der ADM Arbeitskreis Deutscher Markt- 
und Sozialforschungsinstitute e.V. 
vertritt die Interessen der privatwirt- 
schaftlichen Markt- und Sozialfor- 
schungsinstitute in Deutschland. Er 
wurde im Jahr 1955 gegründet und ist 
der einzige Wirtschaftsverband dieser 
Art. Gegenwärtig gehören ihm 73 pri- 
vatwirtschaftliche Forschungsinstitute 
an, die zusammen rund 83 Prozent des 
Umsatzes der deutschen Markt-, Mei- 
nungs- und Sozialforschung erzielen 
(2017: 2,45 Mrd. €). Zu den satzungs- 
gemäßen Aufgaben des ADM gehö- 
ren die Wahrung und Förderung der 
Wissenschaftlichkeit der Markt- und 
Sozialforschung, die Gewährleistung 
der Anonymität der Teilnehmer wissen- 
schaftlicher Untersuchungen und die 
Entwicklung von Berufsgrundsätzen 
und Standesregeln. 


Deutsche Vereinigung 
für Datenschutz e.V. 


DVD 


Die DVD ist eine unabhängige Bürger- 
rechtsvereinigung, die sich für Daten- 
schutzbelange in Deutschland und Euro- 
pa einsetzt. 


CDD 

Gesellschaft für Datenschutz 

und Datensicherheit e.V. 

Die GDD tritt als gemeinnütziger Verein 
für einen sinnvollen, vertretbaren und 
technisch realisierbaren Datenschutz 
ein. Sie hat zum Ziel, die Daten verar- 
beitenden Stellen - insbesondere auch 
die Datenschutzbeauftragten - bei der 
Lösung und Umsetzung der vielfältigen 
mit Datenschutz und Datensicherheit 
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verbundenen rechtlichen, technischen 
und organisatorischen Anforderungen 
zu unterstützen. 


@ STIFTUNG 
@ N ENSCHUTZ 


Die Stiftung Datenschutz wurde 2013 
von der Bundesrepublik Deutschland 
gegründet. Aufgabe der unabhängigen 
Einrichtung ist die Förderung des Pri- 
vatsphärenschutzes. Hierzu bietet sie 
eine Plattform zur Diskussion und dient 
als Schnittstelle zwischen Gesellschaft, 
Politik, Wirtschaft und Forschung. 


TeleTrusT 


Pioneers in IT security. 
Bundesverband IT-Sicherheit e.V 
Der Bundesverband IT-Sicherheit e.V. 
(TeleTrusT) ist ein Kompetenznetz- 
werk, das in- und ausländische Mit- 
glieder aus Industrie, Verwaltung, 
Beratung und Wissenschaft sowie the- 
matisch verwandte Partnerorganisati- 
onen umfasst. TeleTrusT ist Träger der 
„TeleTrusT European Bridge CA“ (EBCA; 
PKI-Vertrauensverbund), der Exper- 
tenzertifikate „TeleTrusT Information 
Security Professional” (T.1.S.P.) und 
„TeleTrusT Professional for Secure Soft- 
ware Engineering“ (T.P.S.S.E.) sowie 
des Vertrauenszeichens „IT Security 
made in Germany”. TeleTrusT ist Mit- 
glied des European Telecommunica- 
tions Standards Institute (ETSI]). 


verbraucherzentrale 


Buuolesverbaud 


Der Verbraucherzentrale Bundesver- 
band ist die starke Stimme von mehr als 
80 Millionen Verbrauchern in Deutsch- 
land. Der vzbv vertritt ihre Interessen 
gegenüber Politik, Wirtschaft und Ver- 
waltung und klagt Verbraucherrechte 
vor Gericht ein. Als Dachverband der 16 
Verbraucherzentralen der Länder und 
25 Verbraucherschutzorganisationen 
bündelt er die Kräfte für einen starken 
Verbraucherschutz. 


DANA « Datenschutz Nachrichten 4/2018 


133 


Datenschutznachrichten 


Datenschutznachrichten aus Deutschland 


Bild: iSt@ek 


Bund 


Kontrolle des Dieselfahr- 
verbot als Vollüberwachung 
geplant 


Die Überwachung der derzeit von 
Gerichten sukzessive für viele Städte 
angeordneten Diesel-Fahrverbote ist 
personalintensiv und teuer. In Ham- 
burg zeigte sich z. B. bereits ein erhöh- 
ter Personalbedarf bei der Polizei zur 
Durchführung der Verkehrskontrollen. 
Daher plant die Bundesregierung eine 
automatisierte Erfassung aller Ver- 
kehrsteilnehmerInnen. In einem Ge- 
setzentwurf, der klammheimlich am 
07.11.2018 im Kabinett verabschie- 
det worden ist, ist dafür ein automa- 
tisierter Datenbankabgleich mit dem 
Kraftfahrt-Bundesamt (KBA) vorgese- 
hen. Zu dem „Entwurf eines Neunten 
Gesetzes zur Änderung des Straßenver- 
kehrsgesetzes” hatten sich zuvor In- 
teressenverbände der Polizei und von 
Überwachungstechnik-Herstellern po- 
sitiv geäußert. Den datenschutzrecht- 
lichen Regelungen des Gesetzentwurfs 
stimmten im Rahmen der Ressortan- 
hörung das Bundesjustizministerium, 
das Bundesinnenministerium sowie 
die Bundesbeauftragte für Datenschutz 
(BfDI) zu. Der Ball liegt jetzt im Bun- 
destag. 
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Der Gesetzentwurf soll es den Behör- 
den erlauben, „im Rahmen von Kontrol- 
len bestimmte Daten, auch automati- 
siert, erheben, speichern und verwen- 
den sowie auf die Daten des Zentralen 
Fahrzeugregisters zugreifen” zu können. 
Beim KBA sind die Halter- und Fahrzeug- 
daten über zugelassene Fahrzeuge ge- 
speichert. Um in einem automatisierten 
Datenabgleich feststellen zu können, ob 
für bestimmte Fahrzeuge eine Verkehrs- 
beschränkung gilt, sollen die Behörden 
vor Ort das Fahrzeugkennzeichen, die 
Fahrzeugmerkmale, das Bild des Fahr- 
zeugs und der FahrerIn „automatisiert“ 
erfassen und abgleichen dürfen. Das Bild 
der FahrerIn ist dabei erforderlich, weil 
sie verkehrsrechtlich persönlich haftet 
und daher identifiziert werden muss. 

Die Datenerhebung soll in der Regel 
offen für jeden erkennbar erfolgen. Die 
Daten müssen spätestens sechs Monate 
nach ihrer Erhebung gelöscht werden, es 
sei denn es kommt zu einem Treffer: Die 
Daten der nicht fahrberechtigten Fahr- 
zeuge müssen nach der Übermittlung an 
die für die Ordnungswidrigkeiten zustän- 
dige Verwaltungsbehörde „unverzüg- 
lich“ gelöscht werden. Im Entwurf wird 
davon ausgegangen, dass zur Umsetzung 
„keine weiteren Kosten” entstehen. Die 
Interessenverbände sehen das anders. 
Sowohl die Deutsche Polizeigewerk- 
schaft, als auch der Bundesverband für 
Verkehrssicherheitstechnik plädieren für 


den Aufbau einer „intelligenten Video- 
überwachung“. Diese könnte mit einer 
Vignette oder einer Nummernschilder- 
fassung kombiniert werden. Im letzteren 
Fall wäre auch die im Gesetz vorgesehene 
Abfrage des Zentralen Fahrzeugregisters 
notwendig. 

Der Jurist und Datenschutzexperte 
Malte Engeler erklärte, das vorgesehene 
Verfahren könne nur dann verhältnis- 
mäßig sein, wenn es tatsächlich keine 
milderen Mittel der Durchsetzung gibt: 
„Man könnte technisch aber vorse- 
hen, dass statt auf das optisch erfass- 
te Kennzeichen auf andere speziell für 
diese Zwecke geschaffene Identifier 
zurückgegriffen wird, wie zum Beispiel 
kleine RFID-Funksender, wie sie etwa 
beim Mautsystem E-ZPass in den USA 
genutzt werden. Das wäre genauso ge- 
eignet und weniger invasiv.” Er wies 
darauf hin, dass das geplante System 
nur dann funktioniert, wenn alle vom 
Dieselverbot betroffenen Fahrzeuge 
von den Händlern oder dem TÜV an das 
Kraftfahrt-Bundesamt gemeldet wer- 
den. Diese Vorfrage sei aber gericht- 
lich umstritten. Letztlich werde damit 
„eine Überwachungsinfrastruktur auf 
Basis eines ‚harmlosen Anlasses’ auf- 
und ausgebaut, die später mit wenigen 
Handgriffen zu hochproblematischen 
Zwecken genutzt werden kann.” 

Rena Tangens vom Bürgerrechtsverein 
Digitalcourage erklärte: „Es ist unsäg- 
lich, dass die Politik die Autokonzerne 
nicht zu einer technischen Nachrüstlö- 
sung verpflichtet, dafür für symbolische 
Fahrverbote eine Überwachungsinfra- 
struktur für alle Leute aufbauen will, 
die in die Innenstadt fahren.” Um die 
Automobilhersteller nicht zu brüskie- 
ren, werde das eigentliche Problem 
nicht angepackt: Statt den öffentlichen 
Personennahverkehr und eine Radinfra- 
struktur schnell auszubauen, werde in 
eine automatisierte Überwachung in- 
vestiert, die von den Polizeiverbänden 
bereits seit Jahren für andere Zwecke 
gefordert wurde. 
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Konstantin von Notz, stellvertreten- 
der Vorsitzender der grünen Bundes- 
tagsfraktion, erklärte, es sei klar, dass 
die Einhaltung von Fahrverboten kon- 
trolliert werden müsse. Doch der vor- 
liegende Vorstoß der Bundesregierung 
schieße „weit übers Ziel hinaus”. Bun- 
desverkehrsminister Andreas Scheu- 
er wolle anlasslos alle Gebiete, für die 
Fahrverbote gelten, und alle einfah- 
renden Pkw dauerhaft überwachen. Es 
solle eine vollautomatisierte Überwa- 
chungsinfrastruktur installiert werden, 
die ausschließlich der zufälligen stich- 
probenartigen Kontrolle von möglichen 
Ordnungswidrigkeits-Verstößen diene. 
Das sei „absolut unverhältnismäßig 
und verfassungsrechtlich bedenklich” 
(Schulzki-Haddouti, Bundesregierung 
plant offenbar Massenüberwachung 
bei Diesel-Fahrverboten, wwwr.heise.de 
15.11.2018). 


Bund 


Positivliste zur Daten- 
schutz-Folgenabschätzung 


Nachdem die Datenschutzaufsichts- 
behörden einzelner Länder den An- 
fang gemacht hatten, hat nun auch 
die Datenschutzkonferenz (DSK) eine 
Positivliste zur Datenschutz-Folgenab- 
schätzung (DSFA) herausgegeben. Die- 
se ersetzt die bisherigen Listen für den 
nichtöffentlichen Bereich der einzelnen 
Aufsichtsbehörden und versteht sich als 
Anwendungshinweis für Unternehmen 
und Organisationen, die Verfahren an- 
wenden, die voraussichtlich ein hohes 
Risiko für die Rechte und Freiheiten 
natürlicher Personen mit sich bringen. 
Diese sind nach Art. 35 DSGVO verpflich- 
tet, vorab eine Abschätzung der Folgen 
solcher vorgesehenen Verarbeitungs- 
vorgänge für den Schutz personenbezo- 
gener Daten durchzuführen. 

In der Liste sind insgesamt 17 Verar- 
beitungstätigkeiten aufgeführt, für die 
die DSK eine DSFA für erforderlich hält. 
Darunter befindet sich zum Beispiel die 
umfangreiche Verarbeitung von perso- 
nenbezogenen Daten über den Aufent- 
halt von natürlichen Personen, wie sie 
bei der Sammlung und Auswertung von 
Fahrzeugdaten der Fall ist. Auch die Er- 
stellung umfassender Nutzerprofile in so- 
zialen Netzwerken oder Dating-Portalen 


DANA ® Datenschutz Nachrichten 4/2018 


gehört dazu. Die Punkte finden sich weit- 
gehend auch auf den bereits veröffent- 
lichten DSFA-Positivlisten der einzelnen 
Länder. DieDSKist der Zusammenschluss 
der unabhängigen Datenschutzbehörden 
des Bundes und der Länder. In ihren min- 
destens zweimal jährlich stattfindenden 
Tagungen stimmen sich die Mitglieder 
über aktuelle Themen ab (Kleijn, Daten- 
schutzkonferenz veröffentlicht DSFA- 
Positivliste, wwwr.heise.de 25.07.2018 
mit Aktualisierungen der Redaktion; die 
aktuelle Version 1.1. vom 17.10.2018 
der Liste findet sich unter https:// 
www.datenschutzkonferenz-online.de/ 
media/ah/20181017_ah_DSK_DSFA_ 
Muss-Liste_Version_1.1_Deutsch.pdf). 


Bund 


Microsoft ändert Cloud- 
Strategie 


Microsoft will seine Cloud-Dienste von 
Azure über Office 365 bis hin zu Dyna- 
mics 365 künftig nur noch im Rahmen 
seines komplett in Eigenregie betriebe- 
nen Microsoft-Cloud-Netzwerks anbie- 
ten. Angesichts unvereinbarer Anforde- 
rungen der Gesetzeslagen in der EU und 
in den USA für international agierende 
Unternehmen hatte Microsoft im Novem- 
ber 2015 das „Modell Microsoft Cloud 
Deutschland” vorgestellt. Dabei werden 
die Rechenzentren für die betroffenen 
Dienste ausschließlich von der Deut- 
schen Telekom als Datentreuhänder be- 
trieben. Microsoft-Mitarbeitende hatten 
normalerweise keinen Zugang. Nur im 
Fall technischer Probleme, die sich aus- 
schließlich durch Mithilfe von Microsoft 
ausräumen lassen, erhielten Mitarbei- 
tende stundenweise unter besonderer 
Protokollierung Zugang zu den invol- 
vierten Rechenzentren. Microsoft konnte 
sich dann aber immer noch in der Pflicht 
sehen, den Forderungen amerikanischer 
Behörden auf Datenherausgabe zu fol- 
gen, wäre dazu aber aus technischen 
Gründen gar nicht in der Lage. 

Seit der Einführung des Modells gab 
es vereinzelte Hinweise, dass das auf- 
preispflichtige Treuhänder-Angebot nur 
schwer mit anderweitigen internatio- 
nalen Cloud-Angeboten kompatibel sei. 
In einem Blogbeitrag vom 31.08.2018 
verkündete Microsoft nun, es werde die 
Cloud mit Datentreuhänderschaft ab jetzt 


nicht mehr für Neukunden anbieten. Für 
diese werden die Cloud-Dienste über eu- 
ropäische Rechenzentren und - sobald 
verfügbar - über neue Rechenzentren in 
Deutschland angeboten. Bestandskun- 
den sollen voraussichtlich ab Ende 2018 
Hilfen für die Migration auf alternative 
Rechenzentren erhalten. Bis dahin will 
Microsoft für die Cloud Deutschland kei- 
ne neuen Dienste mehr bereitstellen. 

Der Konzern versichert in seiner Trust- 
Center-Webseite, er werde die europä- 
isch e Datenschutz-Grundverordnung 
(DSGVO) erfüllen und habe entsprechen- 
de Zusicherungen in seine Vertragsbe- 
stimmungen aufgenommen. Danach 
haben die KundInnen das Recht, per- 
sönliche Daten korrigieren, ergänzen 
oder löschen zu lassen, Datenlecks zu 
recherchieren und zu melden. Ein State- 
ment, wie sich Microsoft im Fall eines Da- 
tenabflusses, z. B. an das Department of 
Homeland Security, verhalten wird, istin 
der Veröffentlichung nicht zu finden. 

Die Deutsche Telekom, diebishernach 
eigener Auskunft mehr als ein Viertel 
ihrer Office365-Kunden zu den Bedin- 
gungen der Microsoft Cloud Deutsch- 
land bediente, will diesen Support so 
lange wie möglich aufrechterhalten und 
erklärte: „Im Ausblick auf die bevorste- 
henden Änderungen in der Microsoft- 
Strategie hat die Deutsche Telekom ein 
Service-Portfolio aufgebaut, das unse- 
ren Kunden die Möglichkeit gibt, auch 
weiterhin besonders sichere Cloud-Um- 
gebungen zu nutzen” (Schüler, Auslauf- 
modell: Microsoft Cloud Deutschland, 
www.heise.de 31.08.2018). 


Bund 
BAMF informiert BfV 


Das Bundesamt für Migration und 
Flüchtlinge (BAMF) hat zwischen 2015 
und 2017 in insgesamt 13.586 Fällen In- 
formationen einschließlich personenbe- 
zogener Daten an das Bundesamt für Ver- 
fassungsschutz (BfV) übermittelt. Das 
geht aus der Antwort (BT-Drs. 19/3840) 
der Bundesregierung auf eine Kleine An- 
frage (BT-Drs. 19/3573) der Fraktion Die 
Linke hervor. Die Zahl der Übermittlun- 
gen des BAMF an den Verfassungsschutz 
ist dabei in den drei Jahren sprunghaft 
gestiegen: Von 571 Fällen im Jahr 2015 
auf 2.418 ein Jahr später und 10.597 
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im Jahr 2017 (Deutscher Bundestag, 
27.08.2018 hib 618/2018). 


Bund 


BAMF-Sprachanalyse-Soft- 
ware unzuverlässig 


Die Firma NUANCE hat für das Bun- 
desamt für Migration und Flüchtlinge 
(BAMF) eine sogar preisgekrönte Soft- 
ware entwickelt, mit der die Herkunfts- 
region von Schutzsuchenden anhand der 
Sprache erkannt werden soll, allerdings 
nur für einige wenige Sprachen. Hierzu 
wird ein Schutzsuchender an ein Tele- 
fon gesetzt; er soll verschiedene Bilder 
interpretieren und das in seiner Heimat- 
sprache mindestens 60 Sekunden, vor- 
zugsweise 2 Minuten schildern. Danach 
kommt nach kurzer Zeit die Rückmel- 
dung vom Computer. 

Es wird u. a. über den Fall eines Man- 
nes aus dem Norden Iraks berichtet, der 
Sorani-Kurdisch spricht. Die Sprache 
kennt der Sprachcomputer nicht, was 
aber den Anhörenden vom BAMF nicht 
beeindruckte. Das Ergebnis war: Zu 60% 
spreche der Mann türkisch und zu 20% 
hebräisch. Das Asylgesuch des Mannes 
wurde abgelehnt. Er befindet sich im 
Klageverfahren. Nach Ansicht des Bun- 
deskriminalamtes (BKA) sind Spracher- 
kennungen „von unter 75% völlig zu ver- 
nachlässigen”! (ANA-ZAR 4/2018, 71). 


Bundesweit 


Fahndung wegen Kinder- 
geldbetrug 


Von 2019 an wollen die Familienkas- 
sen in allen deutschen Großstädten nach 
Kindergeld-Betrug fahnden. Mithilfe 
spezieller Computerprogramme und in 
Kooperation mit dem Zoll, mit Schuläm- 
tern, den Einwohnermeldeämtern, Steu- 
erbehörden und ausländischen Sozialäm- 
tern sollen Familien aufgespürt werden, 
die z. B. mit gefälschten ausländischen 
Geburtsurkunden oder Pässen staatliche 
Leistungen für nicht existierende Kin- 
der kassieren. Karsten Bunk, Leiter der 
Familienkasse bei der Bundesagentur 
für Arbeit, erklärte, dass in Wuppertal 
und Düsseldorf bei der Kontrolle von 100 
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Verdachtsfällen kürzlich 40 ungerecht- 
fertigte Anträge gefunden worden seien. 
Dadurch wurden rund 400.000 € Kinder- 
geld zu Unrecht ausgezahlt. Zwar seien 
die Zahlen nicht repräsentativ, aber ge- 
nug Anlass, die Kontrollen auf die gesam- 
te Republik auszuweiten, beginnend in 
Hamburg und Bremen. In allen 14 regio- 
nalen Familienkassen Deutschlands sol- 
len jeweils zwei Beschäftigte ausschließ- 
lich nach Missbrauchsfällen fahnden. 
Bunk forderte, die Datenschutzregeln 
für den Informationsaustausch zwischen 
den beteiligten Behörden zu lockern 
(Fahndung nach Betrügern, Der Spiegel 
Nr. 33 11.08.2018, 24). 


Bundesweit 


Fax-Betrüger ködern mit 
Datenschutz 


Seit Oktober 2018 erhielten viele Un- 
ternehmen eine „eilige FAX-Mitteilung” 
einer sog. „Datenschutzauskunft-Zent- 
rale“, in der sie dazu gedrängt wurden, 
ein Formular auszufüllen, angeblich um 
der gesetzlichen Pflicht zur Umsetzung 
des Datenschutzes nachzukommen. 
Dazu stellte Marit Hansen, die Landes- 
beauftragte für Datenschutz Schleswig- 
Holstein, klar: „Bei der „Datenschutz- 
auskunft-Zentrale” handelt es sich nicht 
um eine offizielle Stelle oder gar um eine 
Aufsichtsbehörde. In dem Fax werden 
die Unternehmen dazu gedrängt, ihre 
Firmen- und Betriebsdaten in einem 
Formular anzugeben und dieser „Daten- 
schutzauskunft-Zentrale” mitzuteilen. 
Es wird der falsche Eindruck erweckt, 
dies gewährleiste die Einhaltung der 
Datenschutzanforderungen. Der Haken 
stecktim Kleingedruckten: Mit Absenden 
des Formulars bestellt man kostenpflich- 
tig Leistungen zum „Basisdatenschutz” 
- jährlich werden dann 498,00 € fällig. 
Was mit „Basisdatenschutz” gemeint 
sein soll, ist unklar. Eine Telefonnummer 
sucht man vergebens, die Webseite ent- 
hält kaum Informationen, und der Fax- 
versender sitzt anscheinend in Maltaund 
nicht - wie im Schreiben nahegelegt - in 
Deutschland. Seriös ist das nicht!” 

Hansen appelliert an die Empfänger 
dieses Faxes, nicht voreilig das Formu- 
lar auszufüllen und versehentlich einen 
Vertrag abzuschließen: „Es ist bedauer- 


lich, wenn Datenschutz als Masche zur 
Abzocke missbraucht wird und versucht 
wird, die erfreulicherweise mittlerweile 
bei vielen vorhandene Sensibilisierung 
für das Thema Datenschutz derart auszu- 
nutzen. Ich empfehle, die vorhandenen 
Materialien auf den Webseiten der Daten- 
schutzbehörden zu nutzen und - wenn 
nötig - Dienstleister für Rat und Tat zur 
Datenschutz-Compliance bewusst aus- 
zuwählen“ (PM ULD Schleswig-Holstein, 
Keine Abzocke mit Datenschutz - nicht 
auf das Fax der „Datenschutzauskunft- 
Zentrale” hereinfallen, 02.10.2018). 


Verschiedene Bundesländer 


AfD-Schulmeldeportale for- 
dern zur Denunzierung auf 


Ende Oktober 2018 starteten die AfD- 
Bürgerschaftsfraktionen in Branden- 
burg und Berlin jeweils ein Meldeportal 
für SchülerInnen zur Denunzierung von 
AfD-kritischen Lehrkräften. Zuvor war 
ein solches Portal in Hamburg und in 
Baden-Württemberg ans Netz gegangen 
und hat Irritationen und Kritik ausge- 
löst. 

Die AfD-Fraktion in der Hamburger 
Bürgerschaft erklärt in ihrer Daten- 
schutzerklärung, „dass Minderjährige 
ihr ohne Mitwirkung ihrer Eltern keine 
personenbezogenen Daten übermitteln 
sollten und dass sie personenbezogene 
Daten Minderjähriger auch nicht sam- 
melt”. Doch könne das elektronische 
Kontaktformular, mit dem „wirkliche 
oder vermeintliche Verstöße” gegen das 
Neutralitätsgebot der Lehrkräfte gemel- 
det werden könnten, „natürlich auch 
von Minderjährigen ohne Mitwirkung 
der Eltern ausgefüllt und abgeschickt 
werden“. Aus der Darstellung ging nicht 
hervor, wann die Daten der meldenden 
Personen gelöscht werden. Hamburgs 
Schulsenator Ties Rabe nannte das Por- 
tal einen „albernen Mediengag”, der 
von seiner Lehrerschaft „wenig ernst 
genommen” werde, meinte aber auch: 
„Hier sollen Lehrer eingeschüchtert und 
Schüler zu Denunzianten erzogen wer- 
den. Die AfD tut genau das, was sie an- 
deren vorwirft: Sie politisiert die Schule 
und missbraucht Schüler für ihre politi- 
schen Ziele“. In der Vergangenheit sei 
seine Behörde „allen ernsthaften Hin- 
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weisen auf Verletzung der Neutralität 
nachgegangen. Bisher hat es allerdings 
kaum Fälle gegeben.” 

Vor der Inbetriebnahme in Berlin er- 
klärte Beate Stoffers (SPD) von der dor- 
tigen Senatsverwaltung, dass es „per 
se nicht rechtswidrig” sei, „wenn eine 
private Organisation dazu auffordert 
(angebliche) staatliche Missstände zu 
melden”. Allerdings könne „im Einzel- 
fall” eine Meldung gegen Rechtsvor- 
schriften verstoßen. Die Behörde halte 
es überdies für „überprüfungswürdig”, 
ob die personenbezogenen Daten der 
gemeldeten Lehrkräfte wirklich nur 
an die zuständigen Behörden gemel- 
det werden. Sie meinte, es stehe „dem 
Schulfrieden entgegen”, ein derartiges 
Portal auf den Weg zu bringen. Zuvor 
hatte schon ihre Brandenburger Par- 
teifreundin, Bildungsministerin Brit- 
ta Ernst, von einem „Angriff auf den 
Schulfrieden“ gesprochen. Gerade in 
den ostdeutschen Bundesländern fühl- 
ten sich viele „zu Recht an Stasi-Über- 
prüfungsmethoden erinnert”. 

In Brandenburg erklärte Parlaments- 
präsidentin Britta Stark (SPD), dass 
sie die Finanzierung des Portals prü- 
fen lässt. Es bestehe der Verdacht auf 
Zweckentfremdung öffentlicher Mittel. 
Es bestünden erhebliche rechtliche 
Zweifel, ob Fraktionsmittel für das Por- 
tal ausgegeben werden dürfen. Nach ei- 
ner Prüfung könnten die Gelder von der 
AfD-Fraktion zurückgefordert werden. 
Der Präsident des Berliner Abgeordne- 
tenhauses, Ralf Wieland, zeigte sich 
zurückhaltender. Ein Sprecher sagte, 
nur der Landesrechnungshof könne die 
Verwendung von Fraktionsgeldern prü- 
fen. Die Vorgänge würden beobachtet. 
Es könne durchaus sein, dass der Rech- 
nungshof die Ausgaben der AfD-Frakti- 
on mit Blick auf das Portal früher prüfen 
werde, als im langjährigen Turnus vor- 
gesehen. 

Bildungsministerin Ernst will unter- 
suchen lassen, ob die gewählte Form 
der Plattform rechtlich erlaubt sei. Sie 
kündigte an, dass ihr Haus „wenn nötig 
Lehrkräfte unterstützen werde”, auch 
durch Rechtsschutz. Im Hamburg habe 
die Zivilgesellschaft „kreativ gegen so 
eine Meldeplattform protestiert”. AfD- 
KritikerInnen haben dort mit eigenen 
„Meldungen“ die Plattform geflutet. 
Ein ähnliches Phänomen gab es in Ba- 


DANA ® Datenschutz Nachrichten 4/2018 


den-Württemberg, als der dortige AfD- 
Abgeordnete Stefan Räpple eine eigene 
Plattform starten wollte: Das Vorhaben 
hatte für besonderen Wirbel gesorgt, 
weil Räpple angekündigt hatte, auch 
die Namen von Lehrern veröffentlichen 
zu wollen. Schon nach einem Tag muss- 
te der - wegen seiner Nähe zu Wolfgang 
Gedeon selbst in der eigenen Fraktion 
zwischenzeitlich in Misskredit geratene 
- Abgeordnete seine Seite vorläufig vom 
Netz nehmen. 

Was die Veröffentlichung von Lehrer- 
namen anbelangt, klingt Räpple inzwi- 
schen vorsichtiger als zu Beginn der 
Aktion. Die Veröffentlichung sei nur die 
„Ultima ratio“ und müsse noch geprüft 
werden. Erwerde sich aber „nicht scheu- 
en, es aufeinen Rechtsstreit ankommen 
zu lassen”. Letztlich sei das „eine juris- 
tische Frage“. Es gebe jedenfalls ein „öf- 
fentliches Interesse”, die Lehrernamen 
zu erfahren, da Schüler der Schulpflicht 
unterlägen und daher das Recht haben 
müssten zu wissen, wenn sie einen Leh- 
rer hätten, der bereits durch Indoktri- 
nation aufgefallen sei. Bildungssenato- 
rin Scheeres aus Berlin erinnerte daran, 
dass es „ausreichend Beschwerdeins- 
tanzen“ in den Schulen gebe. Die könn- 
ten genutzt werden, falls man meine, 
dass eine Lehrkraft sich nicht neutral 
verhalte. 

In Baden-Württemberg hatte das 
Lehrer-Meldeportal nicht einmal ei- 
nen Tag lang funktioniert. Bereits am 
Morgen nach der Freischaltung melde- 
te der Abgeordnete Stefan Räpple auf 
der Internetseite „www.stefan-raepple. 
de/mein-lehrer-hetzt”: „Leider kam es 
auf dieser Seite zu einem Hackeran- 
griff.” Die Seite werde „in Kürze wieder 
zur Verfügung” stehen, was aber nicht 
gelang. Die baden-württembergische 
Piratenpartei teilte mit, dass zehntau- 
sende Menschen ihr Angebot angenom- 
men hätten, das Abgeordneten-Portal 
mit Hetz-Meldungen zu blockieren. Die 
„Piraten“ sammelten unter „mein-abge- 
ordneter-hetzt.de” Zitate von AfD-Ab- 
geordneten, die sie als Hetze einstufen. 
Die Piratenpartei flutete damit nach 
eigenen Angaben das AfD-Lehrerportal. 
Michael Knödler, Vorsitzender der Pira- 
tenpartei Baden-Württemberg: „Unser 
Ziel war es, mit einer Aktion sowohl die 
menschenverachtenden Ideen der AfD 
aufzuzeigen als auch dem Denunziati- 


onsportal einige relevante Meldungen 
zukommen zu lassen.” Spitzelei dürfe 
niemals Grundlage in einem demokrati- 
schen Rechtsstaat sein, und Listen von 
Personen seien datenschutzrechtlich 
bedenklich und deshalb kategorisch ab- 
zulehnen. 

Gemäß Pressemeldungen haben nicht 
alle AfD-Fraktionen vor, solche Melde- 
portale zu starten: Nordrhein-Westfa- 
len, Hessen und Schleswig-Holstein sei- 
en nicht dabei. Darüber hinaus gibt es 
Dispute über den richtigen Weg. So hält 
die AfD-Fraktion in Baden-Württem- 
berg, anders als ihr Abgeordneter Räpp- 
le, nichts davon, die Namen von Lehrern 
in die Plattform aufzunehmen. AfD- 
Fraktionssprecher Klaus-Peter Kaschke 
erklärte, das könne „unter Umständen 
der Denunziation Tür und Tor öffnen“. 
„Aus Erfahrung” wisse man zudem, dass 
Schüler-Aussagen „nicht immer stim- 
mig“ seien. Seine Fraktion wolle eine 
eigene Plattform „baldmöglichst” star- 
ten, aber erst nach „genauer Prüfung”. 
Man müsse auch bedenken, dass so ein 
Vorhaben viele Kräfte binde. 

Über das AfD-Meldeportal in Ham- 
burg haben sich nach Angaben der 
Partei innerhalb kürzester Zeit 10.000 
Menschen gemeldet. Der Hamburger 
Fraktionschef Alexander Wolf sagte, die 
Zuschriften ließen sich in drei Katego- 
rien einteilen: Schüler und Eltern, die 
sich über AfD-feindliche Äußerungen 
von Lehrkräften beschwert hätten, Geg- 
ner der Partei sowie Menschen, die ihre 
Unterstützung für die Plattform zum 
Ausdruck bringen wollten. Wolf wehrte 
sich gegen den Begriff „Lehrer-Pran- 
ger“. Es gehe nicht darum, die Schüle- 
rInnen zum Denunzieren zu erziehen. 
Als Beispiel für eine AfD-feindliche 
Aktion berichtete Wolf von einem Mu- 
siklehrer, der angeblich auf dem Klavier 
die Töne „A-F-D“ gespielt und dies mit 
dem Satz „Das ist ja alles braune Soße.” 
kommentiert haben soll. 

Mitte Oktober 2018 wurde auf change. 
org eine Petition an die Kultusminister- 
konferenz gestartet, um „Solidarität mit 
Lehrkräften, die demokratische Werte 
und Vielfalt vermitteln“ zum Ausdruck 
bringen. Motto: „Mein Lehrer fetzt”. 
Nach entsprechenden Pressemeldungen 
hatten innerhalb von zwei Tagen bereits 
30.000 Unterstützende die Online-Peti- 
tion unterzeichnet („Alberner Medien- 
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gag“, Der Spiegel Nr. 42 13.10.2018, 
22; Vieth-Entus, Beschwerdeplattform 
in Berlin AfD-Meldeportal: Bildungsse- 
natorin bangt um „Schulfrieden”, www. 
tagesspiegel.de 18.10.2018; Piraten- 
partei entert Lehrer-Meldeportal der 
AfD, www.haz.de 13.10.2018). 


Baden-Württemberg 


CDU will Polizeirecht weiter 
verschärfen 


Der Innenminister von Baden-Würt- 
temberg, Thomas Strobl (CDU), will 
trotz Kritik von Seiten der Grünen das 
eben erst geänderte Polizeirecht ver- 
schärfen und u. a. die umstrittene 
Online-Durchsuchung von Computern 
durchsetzen. Mit den Maßnahmen sol- 
len Terrorpläne vereitelt, politische 
und organisierte Kriminalität bekämpft 
sowie häusliche und sexuelle Gewalt 
verhindert werden. Strobl beteuerte 
am 22.10.2018, er kenne die Bedenken 
bezüglich der Online-Durchsuchung: 
„Irotzdem müssen wir darüber spre- 
chen. Ich bitte um Verständnis, dass 
ich angesichts der Terrorlage, die wir 
nach wie vor haben, verfassungsrecht- 
liche Spielräume auslote.” Die Terror- 
gefahr sei hoch, daher werde er nicht 
aufhören, für seine Initiative zu wer- 
ben. Um Straftaten zu verhindern, soll 
die Polizei in Zukunft heimlich Compu- 
ter und Smartphones z. B. auf Fotos, E- 
Mails, Videos hin durchsuchen können. 
Hierfür könnte der Bundestrojaner 
eingesetzt werden, eine Spähsoftware, 
die immer wieder in der Kritik steht, 
gegen das Grundgesetz zu verstoßen. 
Vor dem Bundesverfassungsgericht in 
Karlsruhe haben mehrere Organisatio- 
nen deswegen Verfassungsbeschwerde 
eingereicht. Auf die Urteile will der In- 
nenminister nicht warten. 

Vor einem Jahr hatte sich der grüne 
Koalitionspartner gegen die Online- 
Durchsuchungen gesperrt. Grünen-In- 
nenexperte Hans-Ulrich Sckerl erklär- 
te: „Die Grünen halten zunächst nichts 
davon, dass das Polizeigesetz schon 
wieder verschärft werden soll.” Das alte 
Polizeigesetz sei nicht mal ein Jahr alt. 
Man wisse noch nicht mal, wie die er- 
griffenen Maßnahmen gewirkt haben. 
Bisher ist in Baden-Württemberg die 
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Überwachung von laufender Kommuni- 
kation erlaubt. Die Polizei darf E-Mails 
und Nachrichten bei Messenger-Diens- 
ten wie WhatsApp abfangen und mitle- 
sen. Zum Einsatz kam die Methode nach 
bisherigen Erkenntnissen aber noch 
nicht. 

Der Entwurf für das verschärfte Po- 
lizeigesetz sieht weitere Maßnahmen 
vor. PolizistInnen sollen auch bei Ein- 
sätzen im privaten Umfeld sogenannten 
Bodycams tragen können, also auch in 
Wohnungen, Arbeits-, Betriebs- und 
Geschäftsräumen. Die Schulterkameras 
werden derzeit flächendeckend einge- 
führt. Damit sollen PolizistInnen filmen 
können, um Straftaten aufzuklären und 
sich zu schützen. Bisher gilt das nur für 
Einsätze in der Öffentlichkeit. 

Nicht nur die Grünen, auch der Lan- 
desbeauftragte für Datenschutz und 
Informationsfreiheit, Stefan Brink, 
hat verfassungsrechtliche Bedenken. 
Er sieht einen doppelten Tabu-Bruch: 
„Zum einen würde damit die Unverletz- 
lichkeit der Privatwohnung, wie sie Ar- 
tikel 13 unseres Grundgesetzes schützt, 
in Frage gestellt.“ Zum anderen käme 
der sogenannte Richtervorbehalt un- 
ter Druck. Demnach dürfe grundsätz- 
lich nur ein unabhängiger Richter über 
einen Eingriff in die Privatsphäre der 
Wohnung entscheiden, nicht die Poli- 
zei. Dass bei unmittelbarem Handlungs- 
bedarf auch die Staatsanwaltschaft die- 
se Entscheidung treffen dürfe, müsse 
die Ausnahme bleiben. 

Laut dem Entwurf soll die Polizei in 
Zukunft außerdem DNA-Proben neh- 
men können, um Straftaten zu verhin- 
dern. Bei Demos oder strittigen Kon- 
zerten sollen umfassende Personen- 
kontrollen möglich sein. Die Polizei soll 
vereinzelt vorübergehend Menschen 
festnehmen können, um eine konkrete 
Gefahr abzuwenden. 

Die Landesregierung hatte das Sicher- 
heitsrecht erst ein Jahr zuvor novel- 
liert, um Polizei und Verfassungsschutz 
neue Befugnisse an die Hand zu geben. 
Grün-Schwarz steuerte damals vor dem 
Hintergrund des Terroranschlags auf 
den Berliner Weihnachtsmarkt von Ende 
2016 nach, bei dem zwölf Menschen ge- 
tötet worden waren. Das Gesetzespaket 
trat im Dezember 2017 in Kraft (Pläne 
für ein verschärftes Polizeigesetz in 
Baden-Württemberg Spähsoftware und 


Bodycams sollen Polizei stärken, www. 
swr.de 22.10.2018). 


Bayern 


Bundestagsopposition 
klagt iin Karlsruhe gegen 
PAG 


Die Bundestagsfraktionen von Lin- 
ken, Liberalen und Grünen haben das 
Bundesverfassungsgericht (BVerfG) per 
abstrakter Normenkontrolle aufgefor- 
dert, das neue bayerische Polizeiaufga- 
bengesetz (PAG) zu prüfen. Der „Angriff 
der CSU” auf das Grundgesetz (GG) müs- 
se verhindert werden, erklärten Vertre- 
ter der Fraktionsspitzen am 10.09.2018 
bei der Präsentation der Klage in Berlin. 
Sie rügten, dass Menschen unter Gene- 
ralverdacht gestellt würden. 

Für die Normenkontrolle sind ein 
Viertel der Mitglieder des Bundestags 
notwendig, also in diesem Fall ein An- 
trag von 216 Parlamentariern. Die drei 
Fraktionen, die von Thorsten Kingreen, 
Rechtsprofessor aus Regensburg, ver- 
treten werden, mussten sich in das un- 
gewöhnliche Prozessbündnis begeben, 
weil keine Fraktion allein das für den 
Antrag nötige Quorum erreicht. Das 
BVerfG muss nun prüfen, ob das PAG 
insgesamt mit dem GG vereinbar ist. Ein- 
zelne BürgerInnen müssen so nicht wie 
bei einer traditionellen Verfassungs- 
beschwerde erst nachweisen, dass sie, 
etwa durch eine konkrete polizeiliche 
Maßnahme, von der Novelle individuell 
betroffen sind. 

Inhaltlich beklagen die Abgeordneten 
vor allem, dass „bei einer drohenden Ge- 
fahr” der bayerischen Polizei ein breiter 
Werkzeugkasten mit schwerwiegenden 
Eingriffsbefugnissen zur Verfügung 
steht, von Maßnahmen zur Identitäts- 
kontrolle über Platzverweise bis hin zu 
einer zeitlich unbeschränkten Gefah- 
renabwehrhaft. Damit dürfe die Poli- 
zei auch gegen unbescholtene Bürger 
schon weit im Vorfeld echter Gefahren 
und ohne weitere Nachweis vorgehen. 
Selbst schwerste Grundrechtseingriffe 
seien dabei nicht mit den notwendigen 
rechtsstaatlichen Leitplanken verse- 
hen, beschweren sich die Volksvertre- 
ter. So werde unter niedrigen Vorausset- 
zungen eine Gefahrenabwehrhaft mög- 
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lich, für die der bayerische Gesetzgeber 
nicht einmal eine zeitliche Obergrenze 
gesetzt habe. Ferner würden auch Fahn- 
dungsmittel wie „molekulargenetische 
Untersuchungen” erlaubt, die die Ge- 
fahr begründeten, dass sich das poli- 
zeiliche Handeln zunehmend an „ethni- 
schen Kriterien” orientiere. Es entstehe 
eine Polizei, in der sich geheimdienstli- 
che mit operativen polizeilichen Befug- 
nisse verbänden. Kingreen erläuterte, 
dass mit dem wenig konkreten Begriff 
der „drohenden Gefahr” anders als bei 
dem juristischen Begriff der „Gefahr 
im Verzug” es keiner Konkretisierung 
von Personen, Orten und Situationen 
bedürfe. Es genüge die Annahme, dass 
eine Person „gefährlich“ sei. Eine sol- 
che „sprachliche Ungenauigkeit ist der 
erste Schritt hin zu unrechtsstaatlichen 
Zuständen.” 

In der Bewertung des Gesetzes sind 
sich die drei Fraktionen einig. So er- 
klärte Christian Lindner von der FDP, 
das bayerische Gesetz schaffe keine 
Balance zwischen Sicherheit und Frei- 
heit, sondern sei „ein Angriff auf die 
Freiheit”. Die Vorfeldarbeit sei der Po- 
lizei ausdrücklich untersagt, es dürfe 
in Deutschland keine Geheimpolizei 
geben, so wie diese im PAG möglich ge- 
macht werde. Das BVerfG habe 2016 für 
den Bereich der Terrorismusbekämpfung 
Ausnahmen zugelassen, doch habe die 
CSU die polizeiliche Vorfeldarbeit auf 
die „Alltagskriminalität” ausgeweitet. 
Linken-Chef Dietmar Bartsch betonte, 
es gehe um die Auseinandersetzung 
zwischen einem Rechtsstaat und einem 
Willkürstaat; das PAG fördere eindeutig 
Letzteren. Das Gesetz senke die Schwelle 
für Eingriffe in Grundrechte ab; die Po- 
lizei erhalte eine „Kontrollkompetenz“, 
wie es das seit 1945 nicht gegeben habe. 
Grünen-Fraktionschefin Katrin Göring- 
Eckardt erklärte: „Das Gesetz stellt Bür- 
gerrechte infrage.” Mit einem kleinen 
Seitenhieb auf ihren Vorredner meinte 
sie, das PAG erinnere sie an die DDR. 
Dort hätte die Polizei einen auch immer 
und überall kontrollieren dürfen, ob mit 
oder ohne Anlass”. Die Antragstellenden 
hätten eine „Allianz für den Rechtsstaat” 
gebildet; der Rechtsstaat sei bei der CSU 
„nicht mehr in guten Händen”. Mit de- 
ren Plänen gerate jeder unter General- 
verdacht; das mache aus „einer Polizei 
der Bürger eine Polizei des Staates”. 
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Das neue PAG steht auch in der Kritik 
wegen der damit ermöglichten weiten 
Eingriffe in den Telekommunikations- 
bereich und den verdeckten Zugriff auf 
IT-Systeme. So wird den Ermittlern auch 
präventiv der Einsatz von Staatstroja- 
nern für die Quellen-Telekommunika- 
tionsüberwachung sowie für heimliche 
Online-Durchsuchungen gestattet. 
Diese Aspekte werden in der Klage eben- 
falls angeführt. Gegen die Kategorie der 
„drohenden Gefahr” als Kriterium poli- 
zeilichen Handelns, die in Bayern schon 
seit einer früheren PAG-Reform 2017 
herangezogen werden kann, wurde von 
den Grünen bereits beim Bayerischen 
Verfassungsgerichtshof eine Beschwer- 
de eingereicht (vgl. DANA 1/2018. 11- 
25; DANA 3/2018, 149 f.; Krempl, Bay- 
erisches Polizeigesetz: Opposition legt 
Verfassungsbeschwerde ein, www.heise. 
de 10.09.2018; Braun, Ein ungewöhnli- 
ches Trio, SZ 11.09.2018, 6). 


Berlin 


Senat: Videovolksbegehren 
ist unzulässig 


Der rot-rot-grüne Berliner Senat hält 
das von einer Initiative angestrengte 
Volksbegehren für mehr Videoüberwa- 
chung für unzulässig und hat dieses zur 
endgültigen Entscheidung dem Berliner 
Verfassungsgerichtshof vorgelegt (vgl. 
DANA 2017, 159 £.). Innensenator And- 
reas Geisel (SPD) erklärte am 16.10.2018, 
das Vorhaben sei „rechtlich unzulässig 
und politisch verfehlt”. Der Plan der In- 
itiatoren, Kameras an bis zu 50 Stellen 
in Berlin aufzuhängen, hätte einen un- 
verhältnismäßigen Eingriff in das infor- 
mationelle Selbstbestimmungsrecht zur 
Folge. Der Senat wirft dem Volksbegeh- 
ren unklare Begriffe vor. So sollen unter 
anderem große Fahrrad-Abstellplätze 
und belebte Orte mit Kameras überwacht 
werden. Man könne den Gesetzentwurf 
so lesen, dass auch Eingangsbereiche 
von Krankenhäusern, Schulen und Kir- 
chen überwacht werden sollten. Die Re- 
gelung sei unverhältnismäßig, unkon- 
kret und irreführend. 

Die Initiatoren des Begehrens wollten 
mit der Ausdehnung der Videoüberwa- 
chung nach eigenen Angaben die Kri- 
minalität eindämmen und das Sicher- 


heitsgefühl der BürgerInnen verbessern. 
Zu den Initiatoren gehören der frühere 
Berliner Justizsenator und jetzige CDU- 
Bundestagsabgeordnete Thomas Heil- 
mann und der ehemalige Neuköllner 
Bezirksbürgermeister Heinz Buschkows- 
ky (SPD). Im Februar hatte das Bündnis 
mehr als 25.000 Unterschriften von Un- 
terstützerInnen an die Innenverwaltung 
übergeben. 

CDU-Fraktionschef Burkard Dregger 
kritisierte den Vorlagebeschluss: „Der 
Senat hat Angst vor dem Volk.” Der Be- 
schluss sei ein juristischer Trick, um eine 
Abstimmung gleichzeitig mit der Euro- 
pawahl zu verhindern. Er warf dem Senat 
vor, auf Zeit zu spielen. Er verwies darauf, 
dass die Berliner Verkehrsbetriebe (BVG) 
mit ihrer Videoüberwachung in U-Bahn- 
höfen, Waggons und Bussen erfolgreich 
seien: „Esist völlig absurd zu behaupten, 
dass die bewährte Praxis im Bereich der 
BVG nicht auch am Kottbusser Tor, am 
Alex und anderen Kriminalitätsschwer- 
punkten erlaubt sein soll.” FDP-Innen- 
experte Marcel Luthe forderte, die Zahl 
der PolizistInnen und Feuerwehrleute an 
die wachsende Stadt anzupassen und um 
15% zu erhöhen: „Eine Kamera schützt 
niemanden” (Berliner Senat will Video- 
Volksbegehren stoppen, www. rbb24.de 
16.10.2018; Gegen Video-Volksbegeh- 
ren, SZ 17.10.2018, 5). 


Hamburg 


Datenschutzbeauftragter 
beanstandet polizeiliche 
Gesichtserkennung 


Der Hamburgische Datenschutzbe- 
auftragte Johannes Caspar hat den Ein- 
satz biometrischer Gesichtserkennung 
durch die Polizei bei der Fahndung 
nach Randalierern zum G20-Gipfel im 
Juli 2017als rechtswidrig beanstan- 
det. In einem am Freitag 31.08.2018 
veröffentlichten Prüfbericht stellt er 
fest, dass die Ermittlungsbehörden 
„mathematische Gesichtsmodelle einer 
unbegrenzten Anzahl von in der Masse 
verdachtslos erfassten” BürgerInnen 
im Stadtgebiet erzeugt, diese für einen 
unbestimmten Zeitraum gespeichert 
und damit tief in das informationelle 
Selbstbestimmungsrecht der Betroffe- 
nen eingegriffen haben. Hierfür wäre 
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eine besondere gesetzliche Befugnis 
nötig gewesen. 

Mit der von der Sonderkommission 
Schwarzer Block verwendeten Software 
Videmo 360 seien im Echtzeitbetrieb 
„ausnahmslos alle Gesichter von Men- 
schen, die sich auf dem umfangreichen 
Video- und Bildmaterial befanden, bio- 
metrisch verarbeitet” worden. Die Tech- 
nik eröffne Wege zur Fahndung und 
Überwachung von Personen, „die das 
menschliche Auge bei Weitem nicht leis- 
ten kann“. Kriminaltechnisch erschlie- 
ße sich Strafverfolgern so „eine neue 
Dimension staatlicher Ermittlungs- und 
Kontrolloptionen”. Überall dort, wo Bild- 
material des öffentlichen Raumes zur 
Verfügung stehe, könne es künftig zu 
einer „umfassenden Profilbildung von 
Menschen” kommen. Darüber sei es mög- 
lich, Standorte von einzelnen Personen 
zu rekonstruieren oder Beziehungen zu 
anderen Menschen zu dokumentieren: 
„Mit der automatisierten Gesichtser- 
kennung wird in Hamburg ... eine neue 
Technologie im Echtzeitbetrieb einge- 
führt, deren Einsatz die gesetzlich austa- 
rierte Balance zwischen informationeller 
Selbstbestimmung und staatlichen Ein- 
griffsbefugnissen zur Strafverfolgung 
massiv zu Lasten der Privatsphäre von 
Bürgerinnen und Bürgern verschiebt.” 

Diese Informationen ermöglichten 
Schlüsse auf Verhaltensmuster und 
Präferenzen des Einzelnen. Die mit der 
Herrschaft über die Bilder erreichte neue 
Intensität staatlicher Überwachungsein- 
griffe sei „hoch missbrauchsgefährdet”. 
Der Datenschützer geht davon aus, dass 
die Polizei den Einsatz der Erkennungs- 
software nun stoppt. Sonst folge eine 
formelle Anordnung. Dagegen kön- 
ne die Innenbehörde dann gerichtlich 
vorgehen. Ein Polizeisprecher erklär- 
te dagegen, die Anwendung sei unter 
Beachtung aller rechtlicher Vorgaben 
erfolgt. Die Strafverfolgungsbehörde 
hatte jüngst noch angekündigt, das ei- 
gens angeschaffte Programm dauerhaft 
nutzen zu wollen, um Personen zu iden- 
tifizieren. Caspar hat die Polizei zudem 
aufgefordert, die „ohne Rechtsgrundla- 
ge erhobenen biometrischen Daten” zu 
löschen. Der Soko liegen über 100 Ter- 
abyte Bild- und Videomaterial rund um 
die Gipfel-Krawalle vor. Die Resultate der 
biometrischen Fahndung waren bisher 
eher dürftig (Krempl, G20-Krawalle: Da- 
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tenschützer rügt Fahndung per automa- 
tisierter Gesichtserkennung, www.heise. 
de 31.08.2018; Caspar kritisiert Software 
zur Gesichtserkennung, Kieler Nachrich- 
ten 01.09.2018, 14). 


Hessen 


Datenschutzgrundrechte in 
der Landesverfassung 


Bei einer parallel zur hessischen 
Landtagswahl am 28.10.2018 erfolgten 
Volksabstimmung haben die WählerIn- 
nen nicht nur die Todesstrafe im Lande 
formell abgeschafft, sondern mit 90,9% 
auch ein Grundrecht auf Datenschutz in 
der Verfassung des Landes verankert. In 
Artikel 12a heißt es nun: „Jeder Mensch 
ist berechtigt, über die Preisgabe und 
Verwendung seiner personenbezogenen 
Daten selbst zu bestimmen.” Damit wird 
das 1983 vom Bundesverfassungsgericht 
(BVerfG) mit dem Volkszählungsurteil 
abgeleitete Recht auf informationelle 
Selbstbestimmung, ausdrücklich nor- 
miert. Weiter heißt es: „Die Vertraulich- 
keit und Integrität informationstechni- 
scher Systeme werden gewährleistet.” 
Damit wird in Hessen auch das noch 
vergleichbar junge, 2008 vom BVerfG in 
Karlsruhe abgeleitete IT bzw. Computer- 
Grundrecht kodifiziert. Einschränkun- 
gen der neuen Rechte bedürfen eines 
Gesetzes, heißt es in dem Artikel. Der 
hessische Landtag hatte die Initiative 
unter anderem damit begründet, dass die 
Privatsphäre von Einzelnen beim Nutzen 
von IT-Systemen vor allem durch heimli- 
che Zugriffe etwa über Spähprogramme 
gefährdet sei. Es bestehe damit „ein Be- 
dürfnis für besonderen Schutz“. 

Auf Bundesebene drängten die Grünen 
im Bundestag 2008 darauf, ein Daten- 
schutzgrundrecht festzuschreiben. Das 
Recht auf Privatheit müsse zunehmend 
gegen den Staatund gegen die Wirtschaft 
verteidigt werden. Es sei wünschens- 
wert, dass die Bürger ihre grundlegen- 
den Rechte aus dem Grundgesetz selbst 
auch im Bereich der neuen Technologien 
in hinreichender Klarheit entnehmen 
könnten. Die damalige Justizministerin 
Brigitte Zypries (SPD) tat die Initiative 
als Symbolpolitik ab. Ob die Kodifizie- 
rung tatsächlich etwas bringt, ist um- 
stritten. Zudem gilt seit 2009 auf euro- 


päischer Ebene ein präziser formuliertes 
Grundrecht auf Datenschutz in Art. 8 der 
Grundrechte-Charta. Was die Festschrei- 
bung des Computergrundrechts über die 
auch heute noch wirksame Symbolik hi- 
nausgehend bringen wird, bleibt abzu- 
warten (Krempl, Hessen: Grundrecht auf 
Datenschutz und digitale Infrastruktur, 
www.heise.de 02.11.2018). 


Niedersachsen 


Grünen-Beschwerde wegen 
Landesdatenschutzgesetz 


Die Grünen im niedersächsischen 
Landtag haben sich an die Kommission 
der Europäischen Union (EU) gewandt 
mit dem Hinweis darauf, dass das neue 
niedersächsische Datenschutzgesetz in 
einzelnen Punkten mit der europäischen 
Datenschutz-Grundverordnung (DSGVO) 
nicht in Einklang steht. Der innenpoliti- 
sche Sprecher der Grünen-Fraktion Belit 
Onay erklärte: „Die Große Koalition hat 
ohne Not in unfassbarer Eile ein Gesetz 
in Rekordtempo durch das Parlament ge- 
peitscht und dabeisehenden Auges euro- 
pa- und verfassungsrechtliche Verstöße 
in Kauf genommen. Das war angesichts 
der massiven Kritik der Rechtsexperten 
schon fast ein böswilliger Vorgang.” Die 
Erlaubnis von Überwachungskameras im 
öffentlichen Raum habe eine „ausufern- 
de Ausweitung” erfahren. Der Landesda- 
tenschutzbeauftragten würden nur man- 
gelnde Kontrollrechte zugestanden. So 
sei bei Strafverfahren eine Datenschutz- 
kontrolle erst nach deren Abschluss zu- 
lässig. Die Staatsanwaltschaften seien 
vom Anwendungsbereich des Gesetzes 
ganz ausgeschlossen. Überdies habe 
die Datenschutzbeauftragte auch keine 
Befugnis, Bußgelder gegen öffentliche 
Stellen zu verhängen, die gegen die DS- 
GVO verstoßen. Dazu kämen handwerk- 
liche Mängel des vom Innenministerium 
erarbeiteten Gesetzes: „Die Umsetzung 
der europarechtlichen Vorgaben ist viel- 
fach bestenfalls Stückwerk.” Die Landes- 
datenschutzbeauftragte Barbara Thiel 
hatte zuvor den dann beschlossenen 
Gesetzentwurf mehrfach kritisiert. Wäh- 
rend des Parlamentsverfahrens hatten 
neben FDP und Grünen auch mehrere 
Verbände Mängel beklagt. Da die landes- 
politischen Möglichkeiten ausgeschöpft 
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seien, müssten die Grünen, so Onay, nun 
die EU einschalten: „So einfach werden 
wir die GroKo mit dieser Nummer nicht 
durchkommen lassen.” Niedersach- 
sen dürfe „nicht zur Datenschutzwüs- 
te Europas” verkommen (Datenschutz: 
Grüne reichen Beschwerde gegen Nie- 
dersachsens Datenschutzgesetz ein, 
wallstreet-online.de 28.08.2018; siehe 
dazu auch die ausführliche Kritik an 
dem Gesetz durch das Netzwerk Daten- 
schutzexpertise, https://www.netzwerk- 
datenschutzexpertise.de/sites/default/ 
files/br_2018_ndsdsg02.pdf). 


Niedersachsen 


Deutscher spioniert für jor- 
danischen Geheimdienst 


Die Bundesanwaltschaft hat einen 33 
Jahre alten Deutschen festnehmen las- 
sen, der für den jordanischen Geheim- 
dienst spioniert haben soll. Alexander 
B. habe, so die Karlsruher Behörde, den 
Auftrag gehabt, Informationen über eine 
als Radikalen-Treff bekannte Moschee 
in Hildesheim zu sammeln. Das nieder- 
sächsische Innenministerium hatte den 
Verein „Deutschsprachiger Islamkreis 
Hildesheim” (DIK) im März 2017 ver- 
bieten und dessen Moschee versiegeln 
lassen. Die Sicherheitsbehörden hatten 
Erkenntnisse, dass dort Kämpfer für die 
Terrororganisation „Islamischer Staat” 
(IS) im Irak und in Syrien rekrutiert wur- 
den. Auch Anschlagspläne in Deutsch- 
land seien ins Auge gefasst worden. Der 
Festgenommene soll seinen Auftragge- 
bern Informationen über mehrere Per- 
sonen geliefert haben, die in den Dschi- 
had ziehen und nach Syrien ausreisen 
wollten oder sich schon dort aufhielten. 
Der Mann wurde dem Haftrichter vor- 
geführt und sitzt in Untersuchungshaft 
(Deutscher soll für jordanischen Geheim- 
dienst spioniert haben, www.spiegel.de 
08.08.2018). 


Nordrhein-Westfalen 


Wegen „Datenschutz“ kein 
Bastelsieger 


In Solingen ist ein Mal- und Bastel- 
wettbewerb schiefgegangen, weil die 
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Organisatoren vom Naturschutzbund 
(Nabu) aus Gründen des Datenschutzes 
zu datensparsam vorgegangen sind: 
Weil nur die Vornamen der kleinen 
KünstlerInnen notiert wurden, konnten 
die SiegerInnen nicht benachrichtigt 
werden: In den Sommerferien hatte 
der Nabu Kinder zur Teilnahme an dem 
Wettbewerb aufgerufen. Die Vorsitzen- 
de des Solinger Vereins notierte aber 
lediglich die Vornamen, auch um den 
Regeln der neuen EU-Datenschutz- 
Grundverordnung gerecht zu werden. 
Sie gab den Kindern stattdessen Visi- 
tenkarten mit der Bitte an die Eltern 
mit, sich zu melden, doch kaum jemand 
antwortete (DSGVO: Keine Bastelsieger, 
SZ 28.09.2018, 8). 


Rheinland-Pfalz 


Video zur Baustellenüber- 
wachung geht viel zu weit 


Bei einer Kontrolle einer Baustellen- 
überwachung war der rheinland-pfäl- 
zische Landesdatenschutzbeauftragte 
Dieter Kugelmann wenig begeistert. 
Um Diebstähle zu verhindern und den 
Baufortschritt zu dokumentieren, ließ 
ein Bauunternehmen Videokameras auf 
mehreren Baustellen installieren. Die 
Bilder wurden unter anderem in HD- 
Qualität live ins Netz übertragen und 
waren dort auch dauerhaft abrufbar. 

In einer ersten Stellungnahme wies 
Kugelmann darauf hin, dass in den 
Videoaufnahmen unter anderem auf 
den Baustellen im Einsatz befindliche 
Handwerker, Bauleiter und Architekten 
zu sehen waren. Es wurden also perso- 
nenbezogene Daten verarbeitet, was 
einer Rechtsgrundlage bedarf: „Diese 
erfordert seitens des Bauunternehmers 
ein berechtigtes Interesse an der Video- 
überwachung, das die Interessen der 
betroffenen Personen, nicht überwacht 
zu werden, überwiegt.” Dabei müssten 
insbesondere die Belange des Beschäf- 
tigtendatenschutzes berücksichtigt 
werden. Sämtliche Arbeitsabläufe der 
Beschäftigten ließen sich so überwa- 
chen. Mittlerweile sind die Bilder nicht 
mehr im Internet abrufbar. Abgehakt 
ist der Fall damit nicht. Das Verfahren 
ist, so die Landesdatenschutzbehörde, 
noch nicht abgeschlossen. 


Baustellenüberwachung kann zuläs- 
sig sein, wenn die Persönlichkeitsrechte 
der Betroffenen gewahrt bleiben. Dem 
rheinland-pfälzischen Landesdaten- 
schutzbeauftragten zufolge bestehen 
keine datenschutzrechtlichen Beden- 
ken gegen eine Baustellenüberwa- 
chung, wenn 1. lediglich Übersichtsauf- 
nahmen des Baufortschritts angefertigt 
werden und darauf die Identifizierung 
der arbeitenden Personen weitgehend 
ausgeschlossen werden kann, 2. öffent- 
lich-zugänglicher Raum, wie zum Bei- 
spiel Nachbargrundstücke und Haus- 
fassaden benachbarter Grundstücke, 
von der Erfassung ausgeschlossen ist, 
3. die Kameras erst nach Beendigung 
der Bautätigkeit in Betrieb gesetzt wer- 
den und 4. auf die Videoüberwachung 
hingewiesen wird, sodass die Transpa- 
renzpflichten eingehalten werden, die 
sich aus der DSGVO ergeben (Leupold, 
Baustellenüberwachung: Was erlaubt 
ist und was nicht, www.handwerk.com 
24.09.2018). 


Sachsen 


Haftbefehl von Rechtsradi- 
kalen ins Internet gestellt 


Am frühen Morgen des 26.08.2018 
war der 35-jährige Deutsch-Kubaner Da- 
niel H. auf einem Stadtfest in der Chem- 
nitzer Innenstadt erstochen worden. Es 
wurden Haftbefehle gegen zwei Tatver- 
dächtige erlassen, einen 23-jährigen 
Syrer und einen 22 Jahre alten Iraker. 
Diese Tat löste gewalttätige Demonstra- 
tionen von Rechten und Gegendemons- 
trationen aus, welche die Stadt über 
viele Tage erschütterten. Rechtsextre- 
me machten in der Stadt Jagd auf Men- 
schen, von denen sie meinten, dass sie 
fremder Herkunft sind. Mehrere Rechts- 
extreme zeigten den Hitlergruß. 


Das Dokument im Netz 

Angeheizt wurde die Auseinander- 
setzung dadurch, dass am 28.08.2018 
der Haftbefehl gegen einen der Tat- 
verdächtigen unter anderem von Lutz 
Bachmann, dem Begründer der frem- 
denfeindlichen Gruppierung Pegida, 
von der rechten Bürgerbewegung „Pro 
Chemnitz“ und von einem AfD-Kreis- 
verband ins Internet gestellt wurde. 


201 


Eine Veröffentlichung erfolgte auch 
auf der Facebookseite des Bremer Bür- 
gerschaftsabgeordneten Jan Timke. 
Die Staatsanwaltschaft durchsuchte 
Timkes Wohnung in Bremerhaven und 
beschlagnahmte sein Handy, einen 
Computer und ein Tablet. Timke ist ur- 
sprünglich Bundespolizist und Mitglied 
der rechten Wählervereinigung „Bürger 
in Wut”; sein Dienstverhältnis ruht, so- 
lange er in der Bürgerschaft sitzt. 

Die Staatsanwaltschaft Dresden lei- 
tete Ermittlungen ein, da, so ein Spre- 
cher, die Weitergabe des geheimen 
Behördendokuments wie auch die Ver- 
öffentlichung strafbar sind. Es sei aber 
ungewiss, ob sich ermitteln lässt, wer 
den Haftbefehl weitergegeben hat, da 
dieser durch die Hände von mehreren 
Dutzend Behördenmitarbeitenden ge- 
gangen ist. Auch Sachsens Justizmi- 
nister Sebastian Gemkow (CDU) wies 
darauf hin, dass der Kreis potenziell 
relativ groß sei. Die Veröffentlichung 
nannte er „extrem verantwortungslos”. 
In dem Dokument waren Details wie die 
Namen des Opfers und des Tatverdäch- 
tigen und Angaben zum bisher ermit- 
telten Tathergang aufgeführt. Auch Na- 
men von Zeugen wurden veröffentlicht. 
Es hieß, dass die Staatsanwaltschaft 
Maßnahmen zu ihrem Schutz ergreifen 
wolle. Das Dokument trug den Briefkopf 
des Amtsgerichts Chemnitz, die Unter- 
schrift des Richters, das Aktenzeichen 
der Staatsanwaltschaft. Der Haftbefehl 
gegen den 22-jährigen Iraker Yousif A., 
der zunächst der Tötung des Daniel H. 
verdächtigt war, wurde am 18.08.2018 
vom Amtsgericht Chemnitz aufgehoben; 
auch die Staatsanwaltschaft sah keinen 
dringenden Tatverdacht mehr. 


Der besondere Schutz von Haftbe- 
fehlsangaben 

Ein Haftbefehl, der von der Staatsan- 
waltschaft (StA) bei Gericht beantragt 
wird, und danach vom Gericht zurück 
an die StA geht, nimmt einen weiten 
Weg. Die StA gibt ihn weiter an die zu- 
ständige Dienststelle der Polizei; hier 
war dies die Polizeidirektion Chemnitz. 
Auch die Justizvollzugsanstalt be- 
kommt eine Ausfertigung, und natür- 
lich auch der betroffene Tatverdächtige 
über seine anwaltliche Vertretung. Ein 
Haftbefehl wird traditionell auf Papier 
verschickt, er wird nicht als Scan in Da- 
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tenbanken hinterlegt. Doch wandert er 
durch viele Hände, u. a. von Gerichts- 
bediensteten und Sekretärinnen. Das 
von Lutz Bachmann geteilte Bild im 
Netz war kein Scan, sondern ein Foto, 
das schnell mit einem Smartphone ge- 
macht worden war. 

Bundesinnenminister Horst Seehofer 
(CSU) nannte den Vorgang „vollkom- 
men inakzeptabel”. Es könne nicht sein, 
dass „hochpersönliche Dinge, aber auch 
interne Abläufe der Justiz” öffentlich 
würden. „Da muss man alle Möglich- 
keiten prüfen, die dem Rechtsstaat 
zur Verfügung stehen”. Sachsens stell- 
vertretender Ministerpräsident Martin 
Dulig (SPD) sprach von einem Skandal: 
„Da haben wir ein dickeres Problem auf- 
zuarbeiten.” Es müsse klar werden, dass 
bestimmte Sachen in der Polizei nicht 
mehr geduldet werden. Es könne nicht 
sein, „dass Polizeibeamte denken, sie 
könnten so etwas durchstechen, ob- 
wohl sie genau wissen, dass sie damit 
eine Straftat begehen“. 


Die Auflösung 

Die Aufklärung des konkreten Vor- 
gangs ging schneller als vermutet: Am 
30.08.2018 wurde bekannt, dass der 
Haftbefehl von einem Dresdner Jus- 
tizvollzugsbeamten fotografiert und 
verbreitet wurde. Dieser bekannte sich 
dazu in einer von seinem Anwalt ver- 
breiteten Erklärung. Der Beamte hatte 
das Schriftstück mit seinem Handy fo- 
tografiert, als das Dokument nach der 
Einlieferung des Irakers in die Justiz- 
vollzugsanstalt noch im Zugangsbe- 
reich lag. Er gab gegenüber der Boule- 
vardpresse an, dass er das Foto später an 
Kollegen, Freunde des Opfers und an die 
rechtspopulistische Bürgerbewegung 
„Pro Chemnitz” verschickt habe. Am 
29.08.2018 hätten Polizeibeamte seine 
Wohnung und die von Kollegen durch- 
sucht und Handys beschlagnahmt. Da 
sei ihm klargeworden, dass er sich of- 
fenbaren müsse. Er wurde umgehend 
vom Dienst suspendiert. 

Wegen der Veröffentlichung des Haft- 
befehls erfolgten wenig später Durch- 
suchungen der Fraktionsräume von Pro 
Chemnitz im Rathaus, von drei Wohnun- 
gen und in einer Anwaltskanzlei. Drei 
Beschuldigten wird demnach vorgewor- 
fen, eine Kopie des Haftbefehls auf einer 
Facebookseite veröffentlicht zu haben. 


Mit der Veröffentlichung des Haftbe- 
fehls setzte sich Lutz Bachmann nicht 
zum ersten Mal mit angeblich besonders 
guten Kontakten in Sicherheitskreise in 
Szene. Am 19.12.2016, kurz nach dem 
tödlichen Anschlag des Tunesiers Anis 
Amri auf den Berliner Weihnachtsmarkt, 
twitterte Bachmann: „Interne Infos aus 
Berliner Polizeiführung: Täter tunesi- 
scher Moslem.” Erst einen Tag später 
sprach die Polizei offiziell von Amri als 
Verdächtigem. 

Bachmann und weitere Veröffentli- 
chende im Internet dürften wegen der 
Verletzung eines Dienstgeheimnisses 
nach & 353b Strafgesetzbuch (StGB) 
strafrechtlich zu belangen sein. Solan- 
ge ein Verdächtiger wie der 22-jährige 
Iraker sich noch nicht vor Gericht ver- 
teidigen konnte, soll er in der Öffent- 
lichkeit nicht vorverurteilt werden, 
deshalb ist das Veröffentlichen eines 
Haftbefehls strafbar nach 8 353d Nr. 3 
StGB. Nach dem Amri-Attentat im Jahr 
2016 war Bachmann zurückgerudert: 
„Liebe Presse, ich gebe es zu, ich hat- 
te natürlich nur meine Glaskugel und 
keinen Informanten!”. Diese Ausflucht 
ist diesmal nicht möglich (Schneider, 
Neue Justizaffäre erschüttert Sachsen, 
SZ 30.08.2018, 1; Steinen, Das Leck von 
Chemnitz, SZ 30.08.2018, 6; Billion/ 
Schneider/Rossbach, Kretschmer ver- 
spricht mehr Härte gegen Rechte, SZ 
31.08.2018, 1; Durchsuchung im Rat- 
haus SZ 11.09.2018, 6; Grill/Wiegand, 
Ein Verdächtiger von Chemnitz ist wie- 
der frei, SZ 19.09.2018, 5). 


Sachsen u.a. 


Rechtsextreme mit „Daten- 
schutz” gegen die Presse 


Die Mitglieder von Pegida betrachten 
sich selbst als „patriotischen Europäer”, 
doch ist für sie zunächst einmal grund- 
sätzlich alles, was aus Brüssel kommt, 
politisch zu bekämpfende bürokrati- 
sche Bevormundung. Datenschutz ist 
für sie ein Fremdwort, etwa wenn es um 
die Verleumdung der politischen Gegner 
geht. Doch haben die Rechten bei Be- 
darf ein sehr instrumentelles Verhältnis 
zum Datenschutz und zu derim Rahmen 
der Europäischen Union (EU) erarbeite- 
ten und seit Mai 2018 direkt anwend- 


DANA ® Datenschutz Nachrichten 4/2018 


baren Datenschutz-Grundverordnung 
(DSGVO). So versuchen Pegida-Anhän- 
gerInnen und Mitglieder anderer rech- 
ter Gruppen mit dem Verweis auf den 
Datenschutz, die Arbeit von Journalis- 
tInnen und BeobachterInnen zu behin- 
dern. Sie bedienen sich dabei gerne der 
Polizei, deren Beamte sich am Ort des 
Geschehens oft als nicht allzu sattelfest 
in den sich stellenden juristischen Fra- 
gen erweisen. 


Demo in Dresden 

Ein geradezu klassisches Beispiel 
hierfür ereignete sich am 16.08.2018, 
als Bundeskanzlerin Angela Merkel 
Dresden besuchte. Verglichen mit zu- 
rückliegenden Wahlkampfauftritten 
ging es dabei recht unaufgeregt von- 
statten. Etwa 300 Pegida- und AfD- 
AnhängerInnen hatten sich am säch- 
sischen Landtag verabredet, um gegen 
die Kanzlerin zu protestieren. Ein Vor- 
fall am Rande der Demonstration führt 
jedoch zu starken politischen Verwer- 
fungen: Ein Kamerateam des ZDF, das 
den Besuch Merkels für das Magazin 
„Frontal 21” begleitete, wurde durch 
Polizisten an der Arbeit gehindert. Der 
für Frontal arbeitende freie Journalist 
Arndt Ginzel wollte gemeinsam mit ei- 
nem Kameramann die Demonstration 
dokumentieren. Der Kameramann hatte 
sich der Versammlung zunächst allein 
genähert und wurde dann von einem 
Teilnehmer beschimpft. Ein Mann mit 
Hut in Deutschlandfarben kam aus dem 
Hintergrund auf die Kamera zu und rief: 
„Hören Sie auf, mich zu filmen”. Der Ka- 
meramann bat ihn, einfach weiterzuge- 
hen. Stattdessen kamen weitere Männer 
hinzu und schlugen nach der Kamera. 
Wenig entfernt standen Polizisten, die 
hiergegen nicht eingriffen. Die Polizei 
hielt vielmehr den Kameramann fest, 
um dessen Personalien und Presseaus- 
weis zu kontrollieren. Ginzel: „Einen 
Grund für die polizeiliche Maßnahme 
nannte man uns nicht.” Ein Demonst- 
rant, der die Szene aus der Nähe verfolg- 
te, erstattete dann Anzeige gegen Ginzel 
und gab an, beleidigt worden zu sein, 
was dieser bestreitet. Er habe der Poli- 
zei sogar angeboten, das Filmmaterial 
vor Ort zu sichten, um den Sachverhalt 
aufzuklären. Dies sei abgelehnt worden. 
Auch der Bitte, ihre Namen zu nennen, 
seien die Beamten während des 45-mi- 
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nütigen Vorfalls nicht nachgekommen. 
Ginzel veröffentlichte ein den gesamten 
Vorgang dokumentierendes Video via 
Facebook und Twitter. Der überwiegend 
investigativ, auch in der rechten Szene, 
arbeitende Journalist erklärte: „Die Po- 
lizei behindert nicht nur unsere Arbeit, 
sie bestärkt Pegida-Anhänger in ihrem 
aggressiven Auftreten gegenüber Jour- 
nalisten.” 


Reaktionen 

Michael Hiller, Geschäftsführer des 
Deutschen Journalistenverbands Sach- 
sen, verurteilte das Vorgehen der Be- 
amten, forderte Aufklärung und eine 
Entschuldigung. Enrico Stange, innen- 
politischer Sprecher der Linken im säch- 
sischen Landtag, warf der Polizei vor, 
als Handlanger von Pegida aufzutreten 
und verlangte, den Vorfall zum Thema 
im Innenausschuss zu machen. Valentin 
Lippmann, innenpolitischer Sprecher 
der Grünen, erklärte, die Polizei dürfe 
sich nicht von Gegnern der freien Pres- 
se instrumentalisieren lassen. Er sprach 
sich für mehr Fortbildungsmaßnahmen 
im Umgang mit Medienvertretern aus. 
Bundeskanzlerin Angela Merkel (CDU) 
erklärte während eines Besuchs in Geor- 
gien, wer auf eine Demonstration gehe, 
müsse damit rechnen, dass er „durch 
Medien dabei aufgenommen und be- 
obachtet wird”. Sie bekenne sich „aus- 
drücklich zur Pressefreiheit”, es müsse 
„eine freie Arbeit der Journalisten ge- 
ben“. Bundesjustizministerin Katarina 
Barley nannte den „Vorfallin Sachsen so 
besorgniserregend; die sächsischen Be- 
hörden müssen umfassend aufklären.” 

Dagegen heizte der Chef der CDU- 
Fraktion im Sächsischen Landtag Frank 
Kupfer, den Konflikt dadurch an, dass 
er auf Facebook schrieb: „Öffentlich 
rechtliche ... dafür bezahlen wir Beiträ- 
ge.” Auf heftige Kritik stieß zwei Tage 
später auch ein Tweet des sächsischen 
Ministerpräsidenten Michael Kretsch- 
mer (CDU), der schrieb: „Die einzigen 
Personen, die in diesem Video seriös 
auftreten, sind Polizisten.“ Hunderte 
Kommentatoren warfen daraufhin auf 
sozialen Medien Kretschmer vor, er dis- 
kreditiere die betroffenen Journalisten 
und mache durch seine Äußerung eine 
unvoreingenommene Untersuchung 
des Falls unmöglich. Später beteuerte 
Kretschmer: „Ich bin ein überzeugter 


Verteidiger der Pressefreiheit.” Das 
sächsische Innenministerium warnte 
auf Twitter davor, „geschnittene Filme 
voreilig zu bewerten“. Im Falle einer An- 
zeige müssten Polizisten handeln und 
Personalien aufnehmen: „Offensichtlich 
ist genau das geschehen. Nicht mehr 
und nicht weniger.” 

Derweil bat die Polizei Sachsen auf 
ihrem Twitterkanal wegen des Wochen- 
endes um Geduld und teilte mit, dass 
der Dresdner Polizeipräsident die Jour- 
nalisten zu einem „klärenden Gespräch” 
einlade. SPD-Chef und stellvertretender 
Ministerpräsident Martin Dulig wider- 
sprach Kretschmer, der die behinderten 
ZDF-Journalisten indirekt als unseri- 
ös bezeichnet hatte. Am 24.08.2018 
räumte Dresdens Polizeipräsident Horst 
Kretschmar nach einem Treffen mit dem 
Reporter und Verantwortlichen des ZDF 
im Gegensatz zu seinem Innenminister 
Fehler ein, worauf der Sender erklärte: 
„Das ZDF begrüßt, dass sich der Poli- 
zeipräsident in dem offenen Gespräch 
für die Art und Weise der polizeilichen 
Maßnahme entschuldigt hat.” 


Der Mann, der nicht gefilmt werden 
wollte 

Der Mann, in den Medien Maik G. ge- 
nannt, der so lange gegen Journalis- 
ten gepöbelt hatte, bis die Polizei ein- 
schritt, entpuppte sich im Nachhinein 
als im Bereich Wirtschaftskriminalität 
tätiger Mitarbeiter des sächsischen Lan- 
deskriminalamts (LKA). In dieser Funk- 
tion hatte er Zugriff auf das polizeili- 
che Erfassungssystem IVO, in dem alle 
Straftaten und Ermittlungsvorgänge 
des Landes registriert werden, sowie auf 
das nationale Ausländerzentralregis- 
ter. Gemäß Presseberichten überprüfte 
das LKA nach der Veröffentlichung des 
Vorgangs Verbindungen des Manns zur 
rechten Szene in Freital, insbesondere 
zu einer dortigen fremdenfeindlichen 
Bürgerinitiative. 

Die Aufzeichnung des Fernsehteams 
mit ihm, in der er durch eine schwarz- 
rot-goldene Kappe gut erkennbar ist, 
wurde zum Kurzfilm-Hit im Fernsehen 
in Nachrichten- wie in Satiresendun- 
gen, im Internet sowie und in der Print- 
presse. Seinen vehementen Auftritt 
führten Kollegen u. a. darauf zurück, 
dass es kurz zuvor im LKA eine Schulung 
zur DSGVO gegeben habe, die er aber of- 
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fenkundig falsch verstanden habe. Der 
Clip zu dem Vorfall wurde im Internet 
millionenfach geclickt. Am 25.08.2018 
erklärte Dulig von der SPD unter Bezug- 
nahme auf öffentlich geäußerte For- 
derungen, den Mann „aus dem Dienst 
zu entfernen”: „Ich denke, das ist tat- 
sächlich das, was man jetzt überprüfen 
muss, ob arbeitsrechtliche Konsequen- 
zen zu ziehen sind.” Am 30.08.2018 
teilte das sächsische LKA mit, dass der 
Tarifangestellte, der den umstrittenen 
Polizeieinsatz ausgelöst hatte, nach ei- 
nem Gespräch mit dem LKA anbot, die 
Polizei zu verlassen. Er werde „eine an- 
dere adäquate Tätigkeit außerhalb der 
Polizei Sachsen wahrnehmen.” 


Die Rechtslage 

Gemäß der neuen DSGVO sind Foto- 
grafen grds. angehalten, Personen vor 
Ablichtung um Einverständnis zu bit- 
ten. JournalistInnen sind aber von der 
Regelung ausgenommen, für sie gilt 
das sogenannte Medienprivileg (Art. 85 
DSGVO). Nach 8 23 des Kunsturheberge- 
setzes (KUG) dürfen zudem „Bilder von 
Versammlungen, Aufzügen und ähn- 
lichen Anlässen, an denen die darge- 
stellten Personen teilgenommen haben” 
auch ohne Einwilligung erstellt und so- 
gar veröffentlicht werden. 


Stuttgart 

Kurz nach dem Vorfall in Dresden 
wurde ein Ereignis aus Stuttgart am 
Rande einer Demonstration bekannt. 
Dort waren 30 Vertreter der rechtsex- 
tremen identitären Bewegung auf 80 
Gegendemonstranten gestoßen. Ein 
Polizeibeamter soll dabei Journalisten 
den Weg versperrt und geäußert haben: 
„Die Pressefreiheit ist jetzt ausgesetzt.” 
Baden-Württembergs Innenminister 
Thomas Strobl (CDU) reagierte darauf 
prompt: „Wenn diese Worte so gefallen 
sein sollten, ist das selbstverständlich 
völlig falsch.” 


München 

In München hatte es kurz zuvor min- 
destens drei vergleichbare Vorfälle zu 
dem in Dresden gegeben. Am 06.08.2018 
praktizierte die Pegida in München die 
Taktik. Von der Bühne am Marienplatz 
kündigte Pegida-Chef Heinz Meyer An- 
zeigen gegen Fotografen an und verwies 
auf dabei auf die DSGVO. Der Trick funk- 
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tionierte: Polizisten nahmen Personali- 
en eines Fotografen auf, eine Speicher- 
karte wurde sichergestellt, die der Mann 
nach seinen Angaben zwei Wochen spä- 
ter per Post zurückbekommen hat. Zwei 
Tage danach gab es einen weiteren ähn- 
lichen Vorfall. Beim Bayerischen Jour- 
nalisten-Verband (BJV) nahm man die 
Angelegenheit ernst und intervenierte. 
Gut eine Woche später veröffentlichte 
die Münchner Polizei über ihren Spre- 
cher Marcus Da Gloria Martins per Twit- 
ter eine Klarstellung. Die DSGVO, der 
europäische Datenschutz, habe „keine 
einschränkenden Auswirkungen auf die 
journalistische Berichterstattung über 
Versammlungslagen.“ Das Wort „kei- 
ne” war unterstrichen. Das Grundrecht 
auf Pressefreiheit sei ein „elementares 
Rechtsgut“. 

Dennoch hatte eine Woche später Pe- 
gida mit der Masche erneut Erfolg. Dies- 
mal hatte es die rechte Gruppierung auf 
die Fachinformationsstelle Rechtsextre- 
mismus München (Firm) abgesehen, die 
Teil des städtischen Netzwerks gegen 
Rechtsextremismus ist. Firm ließ bei 
einer Pegida-Versammlung am Stachus 
Flugblätter in Deutsch und Englisch 
verteilen, die über die Hintergründe 
der Gruppierung informieren. Auf dem 
englischsprachigen Flyer ist am rechten 
Bildrand ein stämmiger Mann mit Bart 
und Sonnenbrille zu sehen. Er gehört 
zum Pegida-Stammpersonal und trat 
mehrmals als Anmelder der Kundgebun- 
gen auf. Nach Medienberichten war der 
Mann mindestens einmal auch auf einer 
Patrouille der rechten Bürgerwehr „Sol- 
diers of Odin” (die sich inzwischen in 
„Wodans Erben Germanien“ umbenannt 
hat) unterwegs. 

Der rechte Aktivist stellte nach Firm- 
Angaben Strafanzeige wegen illegaler 
Verbreitung personenbezogener Daten. 
Polizisten nahmen daraufhin die Per- 
sonalien der Flugblattverteilenden auf. 
Marcus Buschmüller von Firm: „Durch 
solche Maßnahmen wird demokrati- 
scher zivilgesellschaftlicher Protest be- 
hindert und eventuell sogar kriminali- 
siert.” Die Fachinformationsstelle kün- 
digte ihrerseits rechtliche Schritte an. 

Dennis Amour, Geschäftsführer des 
BJVs, erklärte, dass die Vorgehens- 
weise von Rechten Methode habe: Mit 
„haltlosen Anschuldigungen“ würden 
JournalistInnen an ihrer Arbeit gehin- 


dert. Schon Mitte August hatte der Po- 
lizeisprecher Da Gloria Martins darauf 
hingewiesen: „Komplexe und weitrei- 
chende Gesetzesänderungen wie die 
DSGVO erzeugen bei ihrer Einführung 
in der Praxis immer wieder rechtliche 
Fragestellungen.” Mittlerweile habe es 
im Präsidium interne Besprechungen 
zu dem Thema gegeben. Pressesprecher 
Sven Müller meinte, die Polizei stehe 
vor einem Dilemma: „Wenn jemand auf 
eine Anzeige besteht, können wir ihn 
nicht einfach wegschicken.” Es gebe je- 
doch die Möglichkeit einer bloßen Notiz 
über den Wunsch, Anzeige zu erstatten, 
ohne Verfahren und ohne Belehrungen, 
die dann der Staatsanwaltschaft zuge- 
leitet werde (Nimz, Ministerpräsident 
im Shitstorm, SZ 20.08.2018, 6; Rietz- 
schel, Mal Freund, am Helfer, Nimz, 
Debakel mit Hut, SZ 24.08.2018, 2; 
Rossmann, Merkel verteidigt Pressefrei- 
heit, SZ24.08.2018, 1; SPD-Dulig will 
LKA-Pegidist entlassen, www.bild.de 
25.08.2018; Bernstein, Die Masche mit 
dem Datenschutz, SZ 25./26.08.2018, 
41; Mayı/Nimz, Sachsen-SPD greift CDU 
an, SZ 25./26.08.2018, 6; Versetzt SZ 
31.08.2018, 5). 


Thüringen 


Schützenbund fordert Infos 
über Reichsbürger 


Bei der seit 2016 Jahren beabsich- 
tigten und bisher wenig erfolgreichen 
Entwaffnung von Reichsbürgern in Thü- 
ringen setzt der dortige Innenminister 
Georg Maier (SPD) auf verstärkte Unter- 
stützung der Behörden durch Schützen- 
verbände: „Sie sollten beobachten, was 
Mitglieder von sich geben und schauen, 
ob vor dem Haus eines Schützenbruders 
die Reichskriegsflagge weht.” Er versi- 
cherte zugleich, dass die Schützenver- 
eine des Landes nicht von Reichsbür- 
gern unterwandert seien. 

Es gibt jedoch ein Problem mit dem 
„Datenschutz“ beim Entzug der min- 
destens 115 scharfen Pistolen, Revol- 
ver und Gewehre, die in der Thüringer 
Reichsbürger-Szene kursieren, so Hans 
Gülland, Vizepräsident des Deutschen 
Schützenbunds in Thüringen: „Wenn wir 
von staatlichen Stellen keine konkre- 
ten Hinweise auf bestimmte Personen 
bekommen, haben wir praktisch keine 
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Möglichkeiten, einzugreifen. Wir wissen 
nicht, wer Reichsbürger ist. Man sieht 
es ihnen nicht an. Doch die Informati- 
onen, die für uns wichtig wären, dürfen 
die Behörden uns nicht geben - obwohl 
das wünschenswert wäre.” Zig Mal habe 
er das Thema mit Spitzenvertretern von 
Sicherheitsbehörden besprochen: „Aber 
wir bekommen nicht einmal Informati- 
onen, wenn ein Verdacht vorliegt.” Der 
jeweilige Schützenverband, von denen 
es in Thüringen neun gibt, könnten die 
jeweiligen „Reichsbürger” ausschlie- 
ßen. Der Verband könnte bei stichhal- 
tigem Verdacht erklären, dem Schützen 
fehle mit dem Ausscheiden aus dem Ver- 
band das Bedürfnis zum Besitz schar- 
fer Waffen: „Das wäre theoretisch eine 
Möglichkeit”, falls die Informationen 
vorlägen. 

Die CDU-Sicherheitspolitiker Raymond 
Walk und Wolfgang Fiedler gehen sogar 
von fast 200 legalen scharfen Waffen aus. 
Walk erklärte: „Es dürfen keine Waffen in 
der Hand von Extremisten sein. Die Waf- 
fenbehörde muss bei der Entwaffnung 
von Reichsbürgern den rechtlichen Rah- 
men ausschöpfen.” Minister Maier habe 
das Problem erkannt, allerdings hapere 
es an der praktischen Umsetzung. „Es 
darf kein Vertrauen des Staates in Per- 
sonen geben, die Waffen beantragen. Die 
Antragsteller müssen nachweisen, dass 
sie vertrauenswürdig sind.” 


Der Entzug einer Waffenrechtserlaub- 
nis ist rechtlich kompliziert. Einfacher 
ist es, die Erlaubnis bei der Antragstel- 
lung zu verweigern. Tatsächlich sind 
Behörden in Thüringen bislang stets vor 
Gerichten gescheitert, wenn sie Reichs- 
bürgern die waffenrechtliche Erlaub- 
nis wieder entziehen wollten. Aber die 
Spruchpraxis der Verwaltungsgerichte 
ist offensichtlich im Wandel. So ent- 
schied ein Verwaltungsgericht in Gießen 
kürzlich, dass Reichsbürger keine Waf- 
fen tragen dürften. Dieser Wandel in der 
Rechtsprechung ist möglicherweise auch 
darauf zurückzuführen, dass im Oktober 
2016 im fränkischen Georgensgmünd 
ein Reichsbürger einen Polizeibeamten 
erschoss. Der Schütze, der 2017 wegen 
Mordes zu lebenslanger Haft verurteilt 
worden ist, war jahrelang im Schützen- 
verein aktiv und hatte zahlreiche Titel 
und Spitzenplatzierungen mit großka- 
librigen Waffen erzielt. Von den 18.000 
Reichsbürgern in Deutschland besitzen 
nach Erkenntnissen der Ämter für Ver- 
fassungsschutz mehr als 1.000 eine waf- 
fenrechtliche Erlaubnis. In Thüringen 
gibt es aktuell etwa 1.100 Reichsbürger, 
darunter 50 Rechtsextremisten. Mindes- 
tens 43 Thüringer Reichsbürger sollen 
legal im Besitz von Waffen sein (Schau- 
ka, Datenschutz erschwert Entwaffnung 
von Reichsbürgern in Thüringen, www. 
thueringer-allgemeine.de 22.08.18). 


Datenschutznachrichten aus dem Ausland 


Weltweit 


Deutsche Regierung: Keine 
Ahnung über Anti-Doping- 
Datenverarbeitung 


Beim weltweiten Anti-Dopingkampf 
müssen die AthletInnen etwa drei Mo- 
nate im Voraus ihre Termine und Auf- 
enthaltsorte angeben, für unangekün- 
digte Probennahmen täglich erreichbar 
sein und intimste Details wie Krank- 
heitsdaten oder Ergebnisse von Urin- 
proben per Smartphone oder Internet- 
browser in eine Datenbank einpflegen. 
Das biologische Profil von bis zu 2.500 
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deutschen SpitzensportlerInnen liegt 
der Nationalen Anti-Doping-Agentur 
(Nada) und auf internationaler Ebene 
der Welt-Anti-Doping-Agentur (Wada) 
vor. Aus einer Antwort der deutschen 
Bundesregierung auf eine kleine Anfra- 
ge der FDP-Bundestagsfraktion ergibt 
sich, dass sie keine genauere Kennt- 
nis darüber habe, welche Personen auf 
die Wada-Datenbank „Adams” Zugriff 
haben. Bezüglich des Datenschutzes 
zieht sie sich aus der Verantwortung: 
„Die Einschätzung der Datensicherheit 
bei Nada und Wada obliegt nicht der 
Bundesregierung, sondern den zustän- 
digen Aufsichtsbehörden.“” Man habe 
„keine Kenntnis“ darüber, wie viele 


Thüringen 


Bußgeldverfahren gegen 
Regierungschef eingestellt 


Ein datenschutzrechtliches Buß- 
geldverfahren gegen den Regierungs- 
chef Thüringens Bodo Ramelow (Lin- 
ke) wurde eingestellt. Dem Minister- 
präsident wurde vorgeworfen, beim 
Twittern ein Foto seines Justizminis- 
ters Dieter Lauinger (Grüne) und von 
Lauingers Frau und Sohn veröffent- 
licht zu haben. Damit habe Ramelow, 
so der thüringische Landesbeauftrag- 
te für Datenschutz, „vorsätzlich oder 
fahrlässig” gegen die Datenschutz- 
Grundverordnung verstoßen. Das ver- 
öffentlichte Bild war bei der Abi-Feier 
von Laubingers Sohn entstanden. 
Ramelow gratulierte der Familie auf 
seinem privaten Twitter-Account, was 
die Opposition in Erfurt erboste. Der 
Vorgang beschäftigt u. a. einen Unter- 
suchungsausschuss im Landtag. Die 
Einstellung des Verfahrens erfolgte, 
nachdem Ramelow eine Einwilligung 
der Familie vorlegte, in der steht, dass 
das Foto veröffentlicht werden darf. 
Dies wollte der Datenschutzbeauftrag- 
ten aber auf Presseanfrage aus Grün- 
den des Datenschutzes nicht bestäti- 
gen (Fahrlässige Tweets, Der Spiegel 
Nr. 38 15.09.2018, 143). 


Personen auf die Datenbank der Wada 
Zugriffhaben. 

Stefan Brink, Datenschutzbeauftrag- 
ter des Landes Baden-Württemberg, 
bezeichnet diesen Zustand als unver- 
antwortlich: „Sich auf Unwissenheit 
zu berufen, ist dem Parlament gegen- 
über unlauter. Auch gegenüber den 
betroffenen Sportlern ist die Haltung 
der Bundesregierung inakzeptabel. 
Einerseits macht sie die Förderung 
von Sportlern von einer Unterwerfung 
unter die Antidoping-Richtlinien der 
Agenturen abhängig, andererseits be- 
ruft sie sich darauf, nicht zu wissen, 
was dort mit den Daten der Sportler 
passiert.” 
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Die Anfrage bezieht sich nicht nur auf 
die Datenschutzrichtlinien der Nada, 
die in Bonn sitzt, sondern auch auf die 
der Wada, für die das kanadische Daten- 
schutzrecht gilt. Die Bundesregierung 
erklärte, „keine Kenntnis” über die De- 
tails des Wada-Berechtigungskonzeptes 
zu haben. Mehrfach zieht sie sich darauf 
zurück, für die Tätigkeit der internatio- 
nalen Verbände nicht verantwortlich zu 
sein. Dazu Brink: „Formal mag dies zu- 
treffen, in der Sache steuert die Bundes- 
regierung alleine durch die Mittelverga- 
be im Sport- und Anti-Doping-Bereich 
aber wesentlich mit.” Das Inkrafttreten 
der neuen Datenschutzgrundverord- 
nung (DSGVO) im Mai 2018 hat nach An- 
sicht der Bundesregierung keine direk- 
ten Auswirkungen. Brink sieht dies an- 
ders: „Ich halte es nicht für zutreffend, 
dass die Verarbeitung von Sportlerdaten 
durch die Wada nicht unter die DSGVO 
fällt.” Es handele sich um Daten von 
betroffenen Personen, die sich in der 
Europäischen Union befinden. Formal 
rechtlich handelt die Nada korrekt: Sie 
verarbeitet Sportlerdaten auf Grundlage 
der Paragraphen 9 und 10 des Anti-Do- 
ping-Gesetzes. Bezüglich der Speicher- 
frist der Athleten-Daten teilt die Bun- 
desregierung mit, dass diese „zwischen 
18 Monaten und zehn Jahren” liege. Ob 
und wann Daten gelöscht werden, ob 
AthletInnen gar ein Löschrecht besit- 
zen, darüber habe sie keine Kenntnis. 

Die russische Hackergruppe „Fancy 
Bear/APT28” hatte sich 2016 Zugang 
zur Datenbank „Adams“ verschaffen 
können. Obwohl auch Daten von deut- 
schen AthletInnen veröffentlicht wur- 
den, sieht die Bundesregierung die Mit- 
wirkung der AthletInnen am „Adams”- 
System uneingeschränkt und nach wie 
vor als verpflichtend an (Balleer, Anti- 
Dopingkampf: Bundesregierung gibt 
Wissenslücken beim Datenschutz zu, 
rp-online.de 04.07.2018). 


Europa 


Once-Only kommt 


Der Ministerrat der Europäischen Uni- 
on (EU) hat am 27.09.2018 ohne weitere 
Aussprache dem Verordnungsentwurf 
für ein zentrales europäisches Online- 
Verwaltungsportal, das nach dem „On- 
ce-only“-Prinzip arbeiten soll, zuge- 
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stimmt und damit den Weg hierfür frei- 
gemacht. Die Verhandlungsführer der 
Mitgliedsstaaten hatten sich zuvor im 
Juni mit Vertretern des EU-Parlaments 
auf eine gemeinsame Linie geeinigt. Die 
Verordnung muss damit nur noch unter- 
zeichnet werden und tritt zwanzig Tage 
nach der Veröffentlichung im EU-Amts- 
blatt in Kraft. 

Über das seit Mitte 2017 geplante di- 
gitale Zugangstor sollen BürgerInnen 
und Unternehmen einfacher grenzüber- 
schreitend auf E-Government-Dienste 
der Ämter in der gesamten EU zugrei- 
fen können. Einige „grundlegende Ver- 
waltungsangebote”, die in einem Mit- 
gliedsland verfügbar sind, werden dabei 
künftig auch von Personen und Firmen 
anderer EU-Länder direkt nutzbar sein. 
BürgerInnen sollen EU-weit per Maus- 
klick etwa einen Wohnsitznachweises, 
Studienbeihilfen oder eine Krankenver- 
sicherungskarte beantragen, ein Kraft- 
fahrzeug zulassen, Rentenleistungen 
in Anspruch nehmen oder sich in Ren- 
ten- und Krankenversicherungssysteme 
registrieren sowie akademische Titel 
anerkennen lassen. 

Um die Bürokratie zu verringern, gilt 
für das Portal der „Grundsatz der einmali- 
gen Erfassung“ (once only). BürgerInnen 
und Unternehmen sollen die gleichen 
Auskünfte gegenüber den öffentlichen 
Verwaltungen also nur einmal abgeben 
müssen. Der EU-Datenschutzbeauftragte 
Giovanni Buttarelli hatte anfangs bei 
diesem vorgesehenen Once-only-Prinzip 
Datenschutzbedenken vorgetragen. Er 
zweifelte etwa die Vereinbarkeit mit den 
Prinzipien der Zweckbestimmung und 
der Datensparsamkeit an. 

Das übergreifende Portal soll in das 
bereits bestehende Angebot „Ihr Euro- 
pa“ integriert werden mit einer speziel- 
len neuen Nutzerschnittstelle, die in al- 
len EU-Amtssprachen verfügbar ist. Das 
Interface werde „den uneingeschränk- 
ten Zugang zu Online-Verfahren in dis- 
kriminierungsfreier Weise gewährleis- 
ten”. Ein Grundprinzip sei es, dass ein 
Verfahren, das BürgerInnen eines Mit- 
gliedslands zur Verfügung steht, auch 
von anderen EU-Staaten aus zugänglich 
sein soll. Der Betrieb werde durch tech- 
nische Instrumente unterstützt, dievon 
der EU-Kommission „in enger Zusam- 
menarbeit mit den nationalen Verwal- 
tungen entwickelt werden“. 


Damit die betroffenen Behörden aus- 
reichend Zeit zur Anpassung ihrer Sys- 
teme haben, gelten verschiedene Über- 
gangsfristen. Je nach Sachverhalt müs- 
sen die Verfahren und Informationen 
binnen zwei bis fünf Jahren online ver- 
fügbar sein, nachdem die Verordnung in 
Kraft getreten ist. Hierzulande haben 
Bund und Länder eine Beta-Version ei- 
nes E-Government-Portalverbunds ge- 
startet. Das Projekt dürfte auf Basis der 
neuen EU-Vorgaben deutlich erweitert 
werden müssen (Krempl, EU-Verwal- 
tungsportal: Bürger müssen Behörden 
Auskünfte nurnoch einmal geben, www. 
heise.de 28.09.2018). 


Österreich 


Wien anonymisiert 
Klingelschilder 


In Wien verlieren 220.000 MieterlIn- 
nen die Namensschilder an ihren Tür- 
klingeln. Ein Mieter einer Gemeinde- 
wohnung hatte sich über mangelnden 
Datenschutz beschwert und habe, so 
ein Sprecher der kommunalen Haus- 
verwaltung „Wiener Wohnen”, auf die 
Datenschutz-Grundverordnung (DS- 
GVO) verwiesen, die im Mai 2018 wirk- 
sam wurde. Der Mieter behauptete, 
nach der EU-Verordnung sei seine Pri- 
vatsphäre nicht genügend geschützt, 
wenn sein Name auf dem Klingelschild 
stehe. Auf die Erkundigung von „Wie- 
ner Wohnen” hin erhielt die Hausver- 
waltung von der für Datenschutzan- 
gelegenheiten der Stadt zuständigen 
Magistratsabteilung die Einschätzung, 
dass die Verbindung von Nachname 
und Wohnungsnummer gegen die DS- 
GVO verstoße. Der Sprecher erklär- 
te: „Wir müssen die standardgemäße 
Beschilderung also austauschen.” In 
220.000 Wohnungen in rund 2.000 
Wohnanlagen sollen bis Ende des Jah- 
res 2018 alle Namen an den Klingel- 
schildern entfernt werden. Stattdessen 
will die Hausverwaltung Nummern an 
den Klingelschildern anbringen, da- 
mit BesucherInnen immer noch bei der 
richtigen Wohnung klingeln können. 
Wer dennoch seinen Namen auf dem 
Klingelschild haben will, muss dann 
selbst tätig werden und einen eigenen 
Aufkleber anbringen. Die Hausverwal- 
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tung aber dürfe das offiziell nicht mehr 
erledigen. Medien verbreiteten dar- 
aufhin die Ansicht, eine Verpflichtung 
zur Anonymität bestehe in Österreich 
eigentlich nicht erst, seitdem die DS- 
GVO innerhalb der EU gilt. Auch vorher 
schon habe es ein Recht der Mieter auf 
Anonymität gegeben, die aber offenbar 
nicht so streng gesehen und von nie- 
mandem bisher eingefordert wurde. 
Tatsächlich wird in Wien weniger Wert 
auf einen Namen am Türschild gelegt; 
es reichen Adresse, Stiege und Woh- 
nungsnummer, damit sich Briefträger 
zurechtfinden. In Österreich reicht die 
Tradition der Türnummern bis ins Jahr 
1777 zurück. „Top“ (vom griechischen 
Topos - Ort) ist seit den Neunzigern das 
übliche Wort dafür. Auch in Frankreich, 
Spanien und den USA ist es seit Jahren 
üblich, die Klingelschilder von Mehr- 
familienhäusern mit Nummern statt 
mit Namen zu versehen. In Polen gilt 
mittlerweile die Wohnungsnummer als 
das einzig verlässliche Identifikations- 
merkmal; der Name an der Tür fehlt oft. 

Der Datenschutzbeauftragte von 
Thüringen befeuerte die Diskussion, 
indem er vor einer Anbringung des Na- 
mens durch den Vermieter warnte. Der 
deutsche Immobilien-Eigentümerver- 
band Haus und Grund empfahl nun sei- 
nen 900.000 Mitgliedern, die Namens- 
schilder an vermieteten Wohnungen 
abzunehmen, was die Bild-Zeitung zu 
der Überschrift brachte: „Datenschutz- 
Irrsinn. Unsere Klingelschilder sollen 
weg!“ Die bayerische Datenschutzauf- 
sicht sah dagegen keinen Handlungs- 
bedarf. Gerold Happ, Hausjurist und 
Mitglied der Bundesgeschäftsführung 
von Haus und Grund klagte daher: „Das 
gibt doch keine Rechtssicherheit!” Ju- 
ristisch wasserdichte Regeln müssten 
her. Tatsächlich besteht in Deutsch- 
land oder in Europa keine Pflicht, die 
eigenen Wohnung mit dem Namen zu 
kennzeichnen. Und die Nachfrage im 
Büro des EU-Kommissionspräsidenten 
in Brüssel ergab: „Die Datenschutz- 
Grundverordnung regelt gar nichts zum 
Thema Namen auf Türklingeln oder 
Briefkästen. Jeder der was anderes 
behauptet, liegt falsch.“ Neben dem 
Schutz von Daten gebe es auch ein legi- 
times Interesse zu wissen, wer in einer 
Wohnung wohnt. Bußgelder würden 
deshalb nicht verhängt. Dem schloss 
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sich die deutsche Bundesbeauftragte 
für den Datenschutz an: „Die Aufforde- 
rung zur Entfernung sämtlicher Klin- 
gelschilder ist unnötig”. 

Die Leiterinnen des Unabhängi- 
gen Landeszentrums für Datenschutz 
Schleswig-Holstein (ULD) Marit Han- 
sen und Barbara Körffer präzisierten: 
„Eine Einwilligung der Mieter ist nicht 
erforderlich. Vermieter, die eine Be- 
schilderung an der Wohnungsanlage 
gestalten und für ihre Mieter Klingel- 
schilder anfertigen wollen, können 
sich auf ein berechtigtes Interesse be- 
rufen: Dass die Namen der Mieter dort 
genannt werden, liegt nicht nur im 
Interesse der Mieter, die besucht wer- 
den oder Postzustellungen oder Liefe- 
rungen erhalten wollen, sondern dient 
auch dem Einsatz von Rettungskräften 
oder der Polizei. Es entspricht auch den 
vernünftigen Erwartungen der Mieter. 
Wichtig ist aber, dass die Vermieter 
schutzwürdige Interessen der Mieter 
berücksichtigen müssen, die im Ein- 
zelfall bestehen. Das ist ganz deutlich 
im Fall eines Stalking-Opfers: Wer ge- 
rade seine Wohnung wechseln musste, 
weil er oder sie vorher einem Stalking 
ausgesetzt war, muss vielleicht um Leib 
und Leben fürchten - hier sollte man 
nicht den vollständigen Namen ange- 
ben. Natürlich gilt dies auch für Zeu- 
genschutzprogramme. 

Wenn nicht ohnehin die Mieter für 
ihr eigenes Klingelschild zuständig 
sind, ist es aufjeden Fall sinnvoll, dass 
der Vermieter vorab die Mieter über 
die Planungen für ein bereit gestell- 
tes Klingelschild informiert, damit 
die korrekte Schreibweise des Namens 
kontrolliert wird oder bevorstehende 
Namensänderungen, z. B. nach einer 
Heirat oder Scheidung, sofort umge- 
setzt werden, damit bei mehreren Mit- 
bewohnern entschieden werden kann, 
welche Namen aufgeführt werden, da- 
mit bei Namensdopplungen abgekürzte 
oder vollständige Vornamen ergänzt 
werden können” (220.000 Mieter be- 
kommen Klingelschilder ohne Namen, 
www.spiegel.de 12.10.2018; Zips, Wie 
mein Name an der Tür, SZ 19.10.2018, 
12; PE BayLDA 18.10.2018, Klin- 
gelschild und Datenschutz; PE ULD 
19.10.2018, Klingelschild kein Daten- 
schutzverstoß - von der Mücke zum 
Elefanten). 


Österreich 


Score berechnet Förder- 
chancen am Arbeitsmarkt 


In Österreich werden die Arbeits- 
marktchancen von Arbeitssuchenden 
ab 2020 als verbindlicher Teil der Bera- 
tung von einem Computerprogramm des 
Arbeitsmarktservices (AMS) ausgerech- 
net: Wer danach mit 66% Wahrschein- 
lichkeit innerhalb von sieben Monaten 
wieder einen Job haben wird, soll als 
Person mit hoher Arbeitsmarktchance 
gelten. Wem weniger als 25% Chance 
errechnet werden, innerhalb von zwei 
Jahren einen Job zu bekommen, gilt 
dann als Kunde mit niedrigen Chancen. 
In beiden Kategorien soll es weniger 
Förderungen als in der mittleren Kate- 
gorie geben. In das System werden ver- 
schiedene persönliche Kenndaten ein- 
gegeben, u. a. die erlangte Ausbildung 
sowie das bisherige Arbeitsleben. Alter, 
Geschlecht und Staatsangehörigkeit 
spielen eine Rolle. Damit sollen Kosten 
eingespart werden, da „arbeitsmarktpo- 
litische Interventionen vergleichsweise 
teuer” seien. Die AMS-Beschäftigten 
setzen das System vom 15.11.2018 an 
ein. Der vormalige Sozialminister Alo- 
is Stöger (SPÖ) verhinderte im Herbst 
2016 wegen Bedenken den Einsatz eines 
derartigen Computerprogramms. Seine 
Begründung damals: Mit dem System 
würden perspektivlose Arbeitssuchende 
künftig weniger gefördert. 

In einem Dokument, das der AMS 
zu dem Programm veröffentlichte, ist 
nachzulesen, welche Eigenschaften der 
Algorithmus als negativ oder positiv be- 
wertet. Der Einsatz des Systems dürfte 
zur Folgehhaben, dassFrauen, Ältere, ge- 
sundheitlich Beeinträchtigte und Frau- 
en mit Kindern vom Computerprogramm 
automatisch schlechter eingestuft wer- 
den. Hat eine Frau ein Kind und dadurch 
entsprechende Betreuungspflichten, 
kriegt sie vom AMS-Algorithmus Extra- 
Punkteabzüge, Männer mit Betreu- 
ungspflichten jedoch nicht. Michael 
Wagner-Pinter von der Firma Synthesis 
Forschung GmbH, die hinter dem Algo- 
rithmus steckt und ein entsprechen- 
des Ergebnispapier dazu veröffentlicht 
hat, begründet dies damit, dass es eine 
„bittere Wahrheit” des Arbeitsmarktes 
sei, die sich im Arbeitsmarktmodell wi- 
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derspiegle. Laut AMS-Vorstand Johan- 
nes Kopf soll das System so vorbereitet 
werden, dass es den BeraterInnen sowie 
den KundInnen „die wichtigsten Grün- 
de für die Einschätzung der Arbeits- 
marktchancen” ausweist, um die Ent- 
scheidung nachvollziehen und gegen 
sie rechtlich vorgehen zu können. 


Kritik 

Angelika Adensamer, Juristin der 
Grundrechtsorganisation epicenter. 
works, warnt: „Es ist enorm wichtig, 
dass die Debatte über algorithmen- 
gestützte Entscheidungen möglichst 
breit geführt wird. Vor allem, wenn es 
um richtungsweisende Entscheidun- 
gen für das Leben von Menschen geht, 
ist besondere Vorsicht geboten. Die 
Gefahr, dass es dabei zu Diskriminie- 
rung und Fehlentscheidungen kommt, 
ist systemimmanent.” Derzeit liege 
die Fehlerrate des Systems bei rund 
50.000 Menschen pro Jahr, die falsch 
eingeordnet würden. Sie verweist auf 
die Betroffenenrechte: „Man hat das 
Recht, dass eine Entscheidung nicht 
ausschließlich vom Computer getroffen 
wird, sondern von einer echten Per- 
son.” Dies sei gemäß der Darstellung 
von AMS-Vorstand Kopf hier der Fall. 
„lrotzdem steht zu befürchten, dass 
sich Beraterinnen und Berater auf die 
Ergebnisse verlassen, die von der Soft- 
ware vorgeschlagen werden.” 

Auch Experten der Universitäten TU 
und WU in Wien prognostizieren, dass 
viele AMS-SachbearbeiterInnen die 
Computer-Entscheidung einfach über- 
nehmen werden und nicht hinterfragen. 
Diverse Studien belegten, dass das Er- 
gebnis eines Computerprogramms die 
Entscheidung praktisch in jedem Fall 
mit beeinflusst. Dies wird von Adensa- 
mer ebenso gesehen: „Die Betroffenen 
und auch die Menschen, die auf Basis 
automatisierter Entscheidungen arbei- 
ten, können nicht nachvollziehen, wie 
der Algorithmus funktioniert. Je kom- 
plexer er wird, desto mehr wird er zur 
Black Box. Das AMS ruft hier Geister, 
die im schlimmsten Fall die Zukunft von 
Menschen zerstören und die unsere Ge- 
sellschaft nur schwer wieder los wird.” 
Die Datenschutzgrundverordnung (DS- 
GVO) verbiete automatische Entschei- 
dungen, die eine „nachteilige Rechts- 
folge für betroffene Personen hat“. 
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Die Entscheidung des Computer- 
programms basiert auf in einem Data- 
Warehouse (DWH) gesammelten Daten. 
Es erfolgt eine Zusammenführung von 
statistischen Angaben mit Daten darü- 
ber, wie oft und wie lang jemand arbeits- 
los war, welchen Berufer erlernthat und 
welcher ausgeübt wurde. Wagner-Pinter 
erklärt: „Das DWH wird vom AMS im Rah- 
men rechtlich normierter Bedingungen 
geführt.” 


Rechtliche Grundlagen 

Für Andreas Krisch, Geschäftsführer 
der Datenschutzagentur, handelt es sich 
hier um klassisches „Profiling“: „Entspre- 
chend notwendig ist es seitens des AMS, 
die Funktionsweise zu erläutern. Kunden 
haben ein Recht auf die Richtigstellung 
der Daten. Dazu muss man aber erst ein- 
mal rausfinden können, was eigentlich 
falsch ist. Man muss Gegenmaßnahmen 
setzen können. Für jeden Einzelnen 
hängt eine ganz wesentliche Entschei- 
dung dran, ob man eine Schulung kriegt 
oder nicht.” Adensamer bekräftigt: „Man 
hat ein Recht, die Daten, die einen be- 
treffen, berichtigen zu lassen, nach 
Artikel 16 DSGVO. Das kann zumindest 
helfen, wenn die Berechnung auf fal- 
schen Daten beruht.” Zudem gibt es für 
Betroffene ein generelles Auskunftsrecht 
laut DSGVO. Für beides werden Formula- 
re zur Verfügung gestellt. Das AMS muss 
laut DSGVO in „präziser, verständlicher 
und leicht zugänglicher Form in einer 
klaren und einfachen Sprache” über das 
neue Computerprogramm aufklären, 
wozu auch die „involvierte Logik sowie 
die Tragweite einer Verarbeitung für die 
Person” gehört. 

In Österreich gibt es ein „Gleichbe- 
handlungsgesetz”, in dem geregelt ist: 
„Auf Grund des Geschlechts, insbeson- 
dere unter Bezugnahme auf den Famili- 
enstand oder den Umstand, ob jemand 
Kinder hat, darf im Zusammenhang mit 
einem Arbeitsverhältnis niemand un- 
mittelbar oder mittelbar diskriminiert 
werden.” Es stellt sich die Frage, ob das 
Programm diese Vorgaben bei der Zulas- 
sung von Schulungsmaßnahmen beach- 
tet wird. Betroffene können sich insofern 
an die Gleichbehandlungsanwaltschaft 
wenden. Diese wollte auf Presseanfrage 
jedoch keine Stellungnahme zur Frage 
abgeben, ob sie künftig auch Fälle von 
Diskriminierung durch den AMS-Algo- 


rithmus behandeln wird. Wirtschaftsin- 
formatiker Krisch erklärt: „Amazon hat 
seinen Job-Algorithmus etwa eingestellt, 
weil es das Problem mit der Frauenfeind- 
lichkeit nicht in den Griffbekommen hat. 
Wenn Amazon sein Programm zur Gänze 
einstellt wegen dieses Problems, ist dies 
ein Alarmsignal. Amazon hat hier deut- 
lich mehr Erfahrung mit Algorithmen 
als das AMS.” Hierauf angesprochen, er- 
klärte AMS-Vorstand Kopf: „Bitte nicht 
vergessen, wir sind nicht Amazon oder 
irgendeine angeblich "böse“ Versiche- 
rung. Unser aller AMS ist jene Organi- 
sation, die seit ihrer Gründung täglich 
gegen Diskriminierung am Arbeitsmarkt 
kämpft und das auch weiter entschieden 
tun wird. Versprochen.” Kopf wehrt sich 
gegen die Kritik mit dem Hinweis, dass 
die Chancenwert-Berechnung nur zeige, 
dass es auf dem Arbeitsmarkt eine Dis- 
kriminierung bestimmter Gruppen gebe. 
Ignoriere man diese Tatsache, so könnte 
nicht korrekt gefördert werden: „Unsere 
Aufgabe ist es, gegen Diskriminierung 
am Arbeitsmarkt vorzugehen.” Der AMS 
sei z. B. verpflichtet, 50% seines Geldes 
für Fördermaßnahmen für Frauen auszu- 
geben, obwohl 2017 nur 43,3% der Ar- 
beitssuchenden weiblich gewesen seien. 
Für andere Gruppen, etwa Langzeitar- 
beitslose, gebe es ebenfalls spezielle Pro- 
gramme. Es sei deshalb nötig, dass der 
Algorithmus realistische Chancenwerte 
errechne: „Die Abbildung der Realität 
kann nicht diskriminierend sein.” 

Carla Hustedt, Leiterin des Projektes 
Algorithmen-Ethik der Bertelsmann- 
Stiftung sieht dies anders. Es könne 
wohl ein Problem sein, aus vorhandenen 
Datensätzen auf bestimmte Zusammen- 
hänge zu schließen, „weil man damit 
womöglich bestehende Vorurteile re- 
produziert. Das muss einem bewusst 
sein und mit entsprechenden Maßnah- 
men verhindert werden.” Sie meint, das 
Problem sei nicht die Software: „Hier 
wird dem Algorithmus die Schuld in 
die Schuhe geschoben. Eigentlich geht 
es um die Frage, welche Menschen in 
einem Solidarsystem die größte Unter- 
stützung erhalten sollen.“ Das müsse 
politisch geklärt werden. Wichtig seien 
die Zwischentöne, um die konkreten 
Auswirkungen diskutieren zu können. 
Kopf vom AMS verspricht, auf diese 
Zwischentöne achten zu wollen. Der 
Einsatz der Software soll regelmäßig 
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überprüft und angepasst werden, und 
zwar auf mehreren Ebenen. Dazu zählt 
die Trefferquote und der Erfolg der ein- 
gesetzten Maßnahmen, aber auch, wie 
die Menschen in der Beratung mit dem 
Algorithmus umgehen: „Wir werden lau- 
fend überprüfen, ob unsere Berater dem 
Chancenwert in der Praxis eine zu hohe 
Bedeutung beimessen.” 


Und in Deutschland? 

Gemäß einem Sprecher der deutschen 
Bundesanstalt für Arbeit (BA), die dem 
AMS entspricht, werden von der BA sol- 
che Algorithmen nicht genutzt. „Das ist 
derzeit auch nicht geplant.” Bei der Be- 
ratung von Arbeitssuchenden wird eine 
Art Jobplattform genutzt, die Stellen- 
angebote und Bewerberprofil vergleicht 
und dann passende Jobs vorschlägt. 
Dabei seien Qualifikation und Erfah- 
rung wichtig, das Geschlecht und die 
Herkunft spielten dagegen keine Rolle 
(Wie ihr euch gegen den AMS-Algorith- 
mus wehren könnt, Dornis, Arbeit vom 
Automaten, SZ 22.10.2018, 20; futu- 
rezone.at/netzpolitik/wie-ihr-euch- 
gegen-den-ams-algorithmus-wehren- 
koennt/400149528, 12-18.10.2018). 


Schweiz 


Referendum gegen Sozial- 
schnüffelei 


Ein Referendumskomitee hat 55.861 
Unterschriften am 05.07.2018 bei der 
Bundeskanzlei in Bern gegen das Ge- 
setz zur Überwachung von Sozialver- 
sicherten eingereicht, so dass hierüber 
voraussichtlich das Schweizer Stimm- 
volk zu befinden hat. 

Knapp 75.500 Personen haben ge- 
mäß den Organisatoren das Referen- 
dum unterzeichnet; rund 20.000 Un- 
terschriften seien aber zu spät einge- 
troffen, so dass sie von den Gemeinden 
nicht mehr überprüft werden konnten. 
Nötig für ein Referendum sind 50.000 
beglaubigte Unterschriften. Das Re- 
ferendum war unter anderem von den 
Sozialdemokraten (SP), den Grünen, 
dem Dachverband der Arbeitnehmen- 
den Travail.Suisse sowie von Behin- 
derten- und Seniorenorganisationen 
unterstützt worden. 
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Lanciert wurde das Referendum im 
April 2018 von einer Bürgerinnen- und 
Bürgergruppierung um die Autorin 
Sibylle Berg. Das von den eidgenössi- 
schen Räten im beschleunigten Ver- 
fahren bewilligte Gesetz stelle, so die 
Gruppierung, die Bevölkerung unter 
Generalverdacht, und die Privatsphäre 
der Menschen werde aufs Gröbste ver- 
letzt. Die Räte verabschiedeten das Ge- 
setz in der Frühjahrssession. Es ermög- 
licht Sozialversicherungen, Versicher- 
te bei Verdacht auf Missbrauch durch 
Detektive observieren zu lassen. Die 
Regeln gelten nicht nur für die Inva- 
lidenversicherung (IV), sondern auch 
für die Unfall-, die Kranken- und die 
Arbeitslosenversicherung. Neben Bild- 
und Tonaufnahmen sind auch techni- 
sche Instrumente zur Standortbestim- 
mung erlaubt. Gemeint sind vor allem 
GPS-Tracker, die an Autos angebracht 
werden. Anders als bei den Bild- und 
Tonaufnahmen braucht es dafür eine 
richterliche Genehmigung. 

Angefangen hatte alles mit einem 
Luxus-BMW, der bei Protesten in Zü- 
rich am 1. Mai 2009 angezündet wor- 
den war. Dieses vermeintliche Symbol 
des Turbokapitalismus gehörte keinem 
Banker, keinem hochbezahlten CEO 
und keinem reichen mittelständischen 
Unternehmer aus dem Umland, son- 
dern einer Sozialhilfeempfängerin. Der 
Fall machte Furore und inspirierte die 
Politik. Sozialmissbrauch, eines der 
Themen, das die rechte Schweizerische 
Volkspartei (SVP) seit Jahren auf der 
Agenda hatte, wurde zur Chefsache. 
Zürich wählte drastische Mittel; weni- 
ge Monate später nahmen sogenannte 
Sozialdetektive ihre Arbeit auf. Seit 
2007 spionierten sie Menschen hinter- 
her, dieim Verdacht stehen, zu Unrecht 
Sozialleistungen zu beziehen. 

Die rechtliche Grundlage für diese 
Observationen war dünn. Eine Schwei- 
zerin, die bei dem Europäischen Ge- 
richtshof für Menschenrechte (EGMR) 
gegen die Praxis einer Unfallversiche- 
rung klagte, bekam in einem Urteil 
vom 18.10.2016 Recht (Nr. 61838/10 
Vukato-Bojic/Schweiz). Die Richter 
monierten, dass es unklar sei, wie sich 
solche Eingriffe in die Privatsphäre mit 
dem Gesetz vereinbaren ließen. Beson- 
ders der Einsatz von GPS-Sendern, die 
Detektive zum Teil heimlich an Autos 


angebracht hatten, stand infrage. Zü- 
rich stellte die Beobachtungen ein. 
Mitte März 2018 verabschiedete der 
Berner Nationalrat dann das Gesetz, 
das es den Sozialversicherungen schon 
bei geringem Verdacht erlaubt, Videos, 
Tonaufnahmen und Bewegungspro- 
file von Verdächtigen anzufertigen, 
was ein Freifahrtschein für Detektive 
ist. Dem Gesetz folgte ein Aufschrei, 
ganz ähnlich wie damals, als der BMW 
brannte. Innerhalb kürzester Zeit fand 
sich die Gruppe zusammen, die das Re- 
ferendum gegen das Gesetz organisier- 
te. Eines der besten Argumente gegen 
die Sozialdetektive bezog sich auf die 
Steuerpolitik der Schweiz. Denn wäh- 
rend das Land bei SozialbetrügerInnen 
Härte zeigt, geht man mit Steuerbetrü- 
gerInnen seit jeher auffällig milde um. 
Hier gilt als heilig, was bei Arbeitslosen 
und anderen Bedürftigen als sekundär 
eingestuft wird: der Schutz der Privat- 
sphäre (Unterschriften für Referendum 
gegen Sozialdetektive eingereicht, 
www.nzz.ch 05.07.2018; Theile, Zür- 
cher Geschnüffeltes, SZ 16.04.2018 1) 


Italien 
DSGVO-Übergangsfrist für 
Kleinbetriebe 


Der italienische Gesetzgeber hat mit 
einem im Amtsblatt der Republik ver- 
öffentlichten Anpassungsdekret auf 
Forderungen u. a. aus der Handwerker- 
schaft reagiert, wonach Betrieben eine 
Übergangsfrist von acht Monaten ein- 
geräumt wird, sich an die neue Gesetz- 
gebung der EU-Datenschutz-Grund- 
verordnung (DSGVO) anzupassen. Die 
italienische Datenschutzbehörde wird 
in dieser Zeit weitere Leitlinien ausar- 
beiten, die vor allem zum Vorteil der 
Klein- und mittelständischen Betriebe 
sein und Vereinfachungen bringen sol- 
len. 

Der Präsident des südtiroler Lan- 
desverbands der Handwerker (Ihv) 
Gert Lanz zeigte sich hierüber zufrie- 
den: „Gemeinsam mit dem nationalen 
Handwerkerverband Confartigianato 
haben wir uns für eine Übergangsfrist 
stark gemacht. Die neue Regelung ist 
äußerst komplex und in vielen Fällen 
interpretationsoffen. Ziel unserer For- 
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derung war es, Kleinbetrieben eine Art 
Überbrückungszeit zu ermöglichen. 
Dies bedeutet allerdings nicht, dass 
das Thema Datenschutz für die Betrie- 
be nun aufgeschoben oder aufgehoben 
ist. Im Gegenteil: Die Unternehmen 
haben nun genügend Zeit, sich über 
die neuen Bestimmungen und ent- 
sprechenden Umsetzungen in ihrer 
Firma zu informieren” (www.stol.it 
28.08.2018, Datenschutz: Kleinbetrie- 
ben Übergangsfrist eingeräumt). 


Portugal 


400.000€-DSGVO-Bußgeld 
gegen Krankenhaus 


In Portugal wurde die europaweit 
erste substanzielle Geldstrafe wegen 
eines Verstoßes gegen die neue EU-Da- 
tenschutz-Grundverordnung (DSGVO) 
verhängt. Die Datenschutzbehörde 
CNPD (Comissäo Nacional de Proteccäo 
de Dados) gab am 22.10.2018 bekannt, 
dass das Krankenhaus Barreiro Montijo 
400.000 € bezahlen soll. Der Großteil 
davon ist die Strafe dafür, dass viel 
zu viele Personen Zugriff auf Patien- 
tendaten hatten. Für einen anderen 
Verstoß wurden 100.000 Euro Strafe 
verhängt. 

Der Krankenhausbetreiber hat laut 
Datenschutzaufsicht „bewusst“ dafür 
gesorgt, dass Nutzende mit dem Profil 
„Techniker“ in den IT-Systemen auf Da- 
ten zugreifen konnten, die eigentlich 
nur für Ärzte einsehbar sein dürfen. 
Das sei bei einem Test ermittelt wor- 
den, in dessen Rahmen solch ein Pro- 
fil mit unbegrenztem Zugang erstellt 
werden konnte. Darüber hinaus seien 
in dem System insgesamt 985 aktive 
Benutzende mit einem Profil „Arzt” 
registriert, obwohl 2018 lediglich 296 
Ärzte eingeteilt worden seien. Das 
Krankenhaus habe die Diskrepanz mit 
temporären Profilen im Rahmen eines 
Dienstleistungsvertrags zu erklären 
versucht. Das Krankenhaus Barreiro 
Montijo hatte im Juli 2018 Besuch von 
den Datenschützern erhalten. Deren 
Schlussfolgerungen teilt es nicht, das 
Krankenhaus will deswegen vor Gericht 
gehen (Holland, DSGVO-Verstoß: Kran- 
kenhaus in Portugal soll 400.000 Euro 
zahlen, www.heise.de 23.10.2018). 
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Tschechien 


Beschwerdeflut bei Daten- 
schutzbehörde 


Das staatliche Amt für Datenschutz 
in Tschechien (U00U) versinkt gemäß 
eigenen Angaben vom Juli 2018 in Be- 
schwerden. Im ersten Halbjahr dieses 
Jahres sind rund 630 Anträge bei der 
Behörde eingegangen, was in etwa das 
Dreifache im Vergleich zum Vorjahres- 
zeitraum sei. Der Anstieg bei den Be- 
schwerden liege an der neuen europä- 
ischen Datenschutz-Grundverordnung 
(DSGVO), die seit Mai auch in Tsche- 
chien in Kraft ist. Die meisten Antrag- 
stellenden würden sich an ungefragten 
Kameraaufnahmen oder ungebetenen 
Werbeanrufen stören (Bucan, Beschwer- 
den beim Datenschutz-Amt auf Rekord- 
niveau, www.radio.cz 15.07.2018). 


Großbritannien 


Bußgeld gegen Facebook 
wegen Cambridge Analytica 


Die britische Datenschutzbehör- 
de Information Commissioner’s Office 
(ICO) hat gemäß einer Information 
vom 25.10.2018 gegen Facebook die 
bisher maximale Strafe in Höhe von 
500.000 Pfund (565.000 €) wegen des 
Datenskandals um Cambridge Analytica 
bestätigt. Das Unternehmen habe einen 
„schweren Verstoß” gegen geltendes 
Recht zugelassen. Repräsentanten des 
Konzerns hätten keine hinreichenden 
Gegenargumente vorgebracht. Weltweit 
waren nach Berechnungen des ICO ca. 
87 Mio. Menschen von dem Datenskan- 
dal betroffen. Die britische Daten- 
schutz-Kommissarin Elizabeth Denham 
erklärte: „Facebook hat es versäumt, die 
Privatsphäre seiner Nutzer vor, während 
und nach der rechtswidrigen Verarbei- 
tung dieser Daten ausreichend zu schüt- 
zen. Ein Unternehmen dieser Größe und 
mit dieser Expertise hätte es besser wis- 
sen und es besser machen sollen.” 

Bei dem Datenskandal hatte der Ent- 
wickler einer Umfrage-App vor mehr als 
vier Jahren Informationen von Face- 
book-Nutzern unrechtmäßig an die Fir- 
ma Cambridge Analytica weitergereicht, 
die später unter anderem für das Wahl- 


kampfteam von US-Präsident Donald 
Trump arbeitete. Dabei ging es nicht nur 
um die Daten der rund 300.000 Umfra- 
ge-Teilnehmenden, sondern auch um 
die ihrer Facebook-Freunde. Der Daten- 
Zugriff für App-Entwickler ließ diesen 
breiten Einzug von Informationen von 
2007 bis 2014 zu. Cambridge Analytica 
hat inzwischen den Geschäftsbetrieb 
eingestellt. 

Das ICO bemängelte nun, dass Face- 
book den App-Entwicklern ohne eine 
rechtliche Basis Zugang zu den Daten 
gewährt habe: „Zwischen 2007 und 
2014 hat Facebook die personenbezo- 
genen Daten von Nutzern unrechtmäßig 
verarbeitet, indem es Anwendungsent- 
wicklern ohne hinreichend klare und in- 
formierte Zustimmung Zugang zu ihren 
Daten gewährt hat. Der Zugang wurde 
auch dann ermöglicht, wenn die Nutzer 
die App nicht heruntergeladen haben, 
sondern einfach nur mit Personen be- 
freundet waren, die die App hatten.” 

In Deutschland wurde Facebook we- 
gen des Vorgangs nicht belangt. Anfang 
Oktober 2018 stellte der Hamburger Da- 
tenschutzbeauftragte Johannes Caspar 
sein Bußgeldverfahren gegen Facebook 
in dieser Sache ein. Zur britischen Ent- 
scheidung erklärte ein Facebook-Spre- 
cher nun, sein Unternehmen prüfe der- 
zeit die Entscheidung des ICO. Bei allem 
Respekt sei Facebook mit manchen Er- 
gebnissen der Untersuchung nicht ein- 
verstanden. Gleichwohl habe man selbst 
zuvor gesagt, dass Facebook mehr hät- 
ten tun sollen, um die Behauptungen 
über Cambridge Analytica zu untersu- 
chen (500.000 Pfund: Britische Daten- 
schützer bestätigen Höchststrafe gegen 
Facebook, www.heise.de 25.10.2018). 


Großbritannien 


Kreditkartenklau bei 
British Airways 


Bei Buchungen über die Internetsei- 
te und die App von British Airways sind 
nach Angaben der Fluggesellschaft die 
Daten von etwa 380.000 Kreditkarten 
gestohlen worden. Betroffen seien per- 
sönliche und finanzielle Details, nicht 
aber Pass- und Reisedaten. Demnach 
konnten die Informationen über einen 
Zeitraum von rund zwei Wochen - vom 
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Abend des 21.08.2018 bis zum Abend 
des 05.09.2018 - abgegriffen werden. 
Man sei in Kontakt mit betroffenen Kun- 
dInnen, heißt es von British Airways. 
Die Behörden seien informiert worden 
(Daten von 380 000 Kreditkarten weg, 
Kieler Nachrichten 08.09.2018, 7). 


Schweden/USA 


Spotify kooperiert mit 
Genanalysefirma Ancestry 


Der schwedische Milliardenkonzern 
Spotify hat sich mit dem Genanalyse- 
Unternehmen Ancestry zusammenge- 
tan: Wer will, schickt eine Speichel- 
probe an Ancestry, wo Forschende aus 
der DNA-Probe die Herkunft der Ahnen 
entschlüsseln. Anschließend bekommt 
man Lieder von Spotify aus jenen Län- 
dern präsentiert, in denen man an- 
geblich seine Wurzeln hat. Die Genau- 
igkeit dieser Tests ist sehr umstritten. 
So hatte z. B. eine Amerikanerin eine 
italienische Oma, die ihr aber vom Gen- 
test abgesprochen wurde. Als Mensch 
mit deutscher Herkunft muss man bei 
diesem einseitigen Tauschgeschäft be- 
sonders aufpassen. Es kann passieren, 
dass man sensibelste Informationen 
gegen eine Liedempfehlung für „Revol- 
verheld” oder den Schlagersänger Wolf- 
gang Lippert eintauscht. Beide haben 
es in die DNA-Playlist für Deutschland 
geschafft. 

Spotify hat erkannt, dass beim einst 
so heiklen Thema DNA-Test inzwischen 
für viele fast alle Hemmungen über 
Bord gegangen sind. 15 Millionen Men- 
schen haben bereits ihr Erbgut von pri- 
vaten Firmen entschlüsseln lassen, als 
wäre dies das Normalste auf der Welt. 
Manchen geht es dabei um ernste An- 
liegen, wie das Risiko für Brustkrebs zu 
identifizieren oder die Wirksamkeit von 
Medikamenten zu bestimmen. Andere 
treibt allein der narzisstische Wille an, 
ein bisschen mehr über sich selbst zu 
erfahren, zum Beispiel, weil das angeb- 
lich bei der Partnerwahl helfen könnte. 

Niemand sollte sich wundern, dass 
die Daten von den Genanalyse-Firmen 
weitergereicht werden, insbesondere 
an Pharmakonzerne. Dass die Daten 
anonymisiert seien, ist nur oberfläch- 
lich korrekt. WissenschaftlerInnen ha- 


DANA ® Datenschutz Nachrichten 4/2018 


ben schon 2013 im Fachmagazin „Sci- 
ence” nachgewiesen, dass ein Mann 
nur durch die Abfolge seiner Y-Chro- 
mosomen und den Abgleich in einer öf- 
fentlichen Datenbank identifiziert wer- 
den konnte. Die Geschäftsbedingungen 
können sich jederzeit ändern, im Fall 
eines Hacks wollen die Firmen keine 
Verantwortung übernehmen. In Ame- 
rika haben sich die Gesundheitsbehör- 
den deshalb einen ganz praktischen 
Rat überlegt: „Think before you spit.” 
Bedeutet: Schalte dein Gehirn ein, be- 
vor du deinen Speichel an eine Firma 
schickst (Geschwendtner, Erst denken, 
dann spucken, SZ 29./30.09.2018, 33). 


Russland 


Staatliche Prämien für 
„Informanten” 


Das russische Innenministerium bie- 
tet seit Ende August 2018 BürgerInnen 
Prämien von umgerechnet 640 € bis 
zu 128.000 € für Informationen über 
Verbrecher an, wenn die Polizei um 
Hinweise aus der Bevölkerung bittet. 
Die Anzeigen werden auf der offiziel- 
len Webseite des Ministeriums veröf- 
fentlicht. Belohnt wird, wenn sich die 
Hinweise als richtig erweisen und der 
Täter gefasst werden kann. Anonymen 
Tipps geht die Polizei nach eigenen An- 
gaben nicht nach. Die „Informanten“, 
wie die russischen Behörden diese Per- 
sonen nennen, müssen mit Klarnamen 
auftreten. 

Ziel des russischen Innenministeri- 
ums ist es, so das russische Internet- 
portal Mediazona, das sich mit dem 
Strafvollzugs- und Justizwesen be- 
schäftigt, die Aufklärungsquote von 
Straftaten zu verbessern. Russische 
MenschenrechtlerInnen sehen in dem 
neuen Gesetz aber auch eine Gefahr für 
die Gesellschaft: Mehr als 20 Millionen 
RussInnen leben laut einer Statistik 
der Rechnungskammer in Armut. Nach 
Informationen von Wziom, einem rus- 
sischen Meinungsforschungszentrum, 
hat mehr als die Hälfte der Bevölke- 
rung keine Ersparnisse. Der finanzielle 
Anreiz, Hinweise an die Polizei zu lie- 
fern, könnte also bei vielen Menschen 
so hoch sein, dass es zu wahllosen De- 
nunziationen kommt. 


Bislang ist nicht festgelegt, wen die 
Polizei mit Hilfe der BürgerInnen ding- 
fest machen möchte, Räuber und Mör- 
der - oder auch Menschen, die regie- 
rungskritische Meinungen im Internet 
vertreten. Gemäß offiziellen Angaben 
der Generalstaatsanwaltschaft saßen 
2017 mehr als 1.500 Menschen wegen 
ihrer Aktivitäten in sozialen Netzwer- 
ken im Gefängnis. Für eine Haftstrafe 
genügt es, regierungskritische Bilder 
zu speichern, andere zu zitieren oder 
einen Post zu schreiben. Im Fokus 
stehen dabei vor allem Oppositionelle, 
aber auch AtheistInnen und Feminis- 
tInnen. Während der Zeit der Sowje- 
tunion waren Denunziationen an der 
Tagesordnung. Opfer berichten bereits 
über Fälle von Erpressung im Internet. 
Zum Beispiel werden sie, so Medienbe- 
richte, darauf aufmerksam gemacht, 
dass sich verbotene Bilder oder Posts 
auf ihrem Social-Media-Kanal befin- 
den. Ihnen wird gedroht, sie bei der 
Polizei zu verraten, wenn sie nicht 
bezahlen oder Nacktfotos von sich zur 
Verfügung stellen. 

Albert Ptschelinzew, Menschenrecht- 
ler und Präsident der überregionalen 
Bürgerorganisation „Gegen die Korrup- 
tion“, erklärte: „Einige Leute wollen je- 
mandem schaden und auf diese Weise 
auch noch Geld verdienen.” Er meint 
aber auch, dass das Risiko des Geset- 
zes, die Korruption von Polizisten zu 
fördern, minimal sei. Denis Michailow, 
der Leiter der Organisation von Alexej 
Nawalny in Sankt Petersburg, erklärte 
dagegen, dass die Korruption durch 
das neue Gesetz zunehmen wird: „Die 
Leute, die mit der Polizei qutgestellt 
sind, können auch Informanten sein.” 
Er erinnert an Maria Motuznaja, eine 
23-jährige Studentin aus Barnaul, der 
eine Haftstrafe von bis zu sechs Jah- 
ren droht. Sie wurde von zwei Prakti- 
kantinnen aus dem Innenministerium 
beschuldigt, sich im sozialen Netzwerk 
VKontakte, dem russischen Äquiva- 
lent von Facebook, beleidigend über 
Schwarze und Religiöse geäußert zu 
haben. Sie soll diskriminierende Illus- 
trationen von Priestern und Schwarzen 
geteilt haben und ist vor Gericht wegen 
„Beleidigung der Gefühle von Gläubi- 
gen“ angeklagt. Michailow vermutet 
hinter dem neuen Gesetz vor allem eine 
Methode für die Jagd auf Oppositionel- 
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le: „Wenn das Gesetz dabeihilft, Räuber 
oder Mörder zu verhaften, dann ist das 
gut. Aber in Russland wird es als Me- 
thode der politischen Druckausübung 
auf die Opposition benutzt” (Sauer, Ne- 
benjob Denunziant, SZ 05.09.2018, 9). 


Kanada 


Abschiebung dank DNA- 
Familienforschung 


Die Canada Border Services Agency 
(CBSA), die kanadische Ausländerbe- 
hörde, sammelt DNA von Flüchtlingen, 
um diese mit Familienforschungs- 
Gendatenbanken abzugleichen und so 
entfernte Verwandte sowie die Staats- 
angehörigkeit zu bestimmen. Subodh 
Bharati, Rechtsanwalt eines Mannes, 
der behauptet aus Libyen zu kommen 
und dem die Behörden dessen nige- 
rianische Staatsangehörigkeit nach- 
weisen wollen, erklärte: „Ich denke, 
es ist von öffentlichem Interesse, dass 
Grenzbehörden wie die CBSA den Zu- 
gang zu Gendatenbanken wie Family- 
treedna.com und Ancestry.com nutzen, 
um Gendatenabgleiche durchzuführen. 
Hiergegen bestehen Datenschutzbe- 
denken: Wie ist es CBSA möglich, an 
diese Informationen zu kommen und 
durch welche Maßnahmen wird ge- 
währleistet, dass diese Informationen 
vertraulich bleiben?“ Bharati vertritt 
seinen Mandanten im Auftrag von 
CLASP, eine juristische Hilfsorganisa- 
tion der Osgoode Hall Law School. Er 
erklärte, ihm seien zwei Personen be- 
kannt, die Familytreedna.com nutzten, 
einer davon aus Großbritannien, die 
von der CBSA kontaktiert wurden mit 
dem Ziel der Erlangung von Informati- 
onen, mit denen eine Abschiebung aus 
Kanada ermöglicht wird. „Personen, 
die diese Angebote nutzen, um ihren 
Familienstammbaum zu recherchie- 
ren, sollten sich darüber bewusst sein, 
dass ihre vertraulichen Informationen 
Regierungsstellen verfügbar gemacht 
werden, und dass Grenzbeamte mögli- 
cherweise Kontakt mit ihnen aufneh- 
men, um die Abschiebung von Mig- 
ranten zu ermöglichen” (Khandaker, 
Canada is using ancestry DNA websites 
to help deport people, news.vice.com 
26.07.2018). 
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USA/weltweit 


Google gewährt 
Entwicklern Zugriff auf 
E-Mail-Inhalte 


Google teilte mit, dass es weiterhin 
anderen Firmen Zugriff auf E-Mails sei- 
ner Nutzenden gewähren wird. Googles 
Vorgehen wird von Datenschützern kri- 
tisiert, seit Google sein Mail-Programm 
Gmail 2004 anbietet. Damals glaubten 
zunächst viele an einen Scherz, denn 
Google versprach jedem Nutzer so viel 
Speicherplatz, dass er nie mehr eine 
E-Mail würde löschen müssen. Die Be- 
geisterung wich bald Besorgnis um die 
Vertraulichkeit, als sich herausstellte, 
dass Google diesen für die Nutzenden 
kostenlosen Service mit Werbung finan- 
ziert, die jeder anderen an Treffsicher- 
heit überlegen war. Denn Googles Soft- 
ware analysierte die Mails seiner Nut- 
zenden, um ihnen passgenaue Werbung 
anzeigen zu können. Wer also in seinen 
Mails von Plänen erzählte, Paris zu be- 
suchen, der bekam möglicherweise bald 
Werbung für Pariser Hotels zu sehen. 

Google konnte noch so oft erklä- 
ren, dass keineswegs Mitarbeitende 
die Mails lesen, sondern dass lediglich 
Software-Programme die Nachrichten 
analysierten. Das Misstrauen blieb. Im 
vergangenen Jahr dann gab Google die 
Erklärungsversuche auf und verkünde- 
te, man höre auf, Mail-Inhalte zu scan- 
nen. Damit wollte das Unternehmen 
den KundInnen versichern, dass ihre 
Daten geschützt seien. Mitarbeitende 
erhielten nur in seltenen Fällen Zugang 
zu den Nachrichten, etwa bei der Unter- 
suchung von Sicherheitszwischenfällen 
oder zur Fehlersuche; dann frage Google 
die Nutzenden aber gesondert um Er- 
laubnis. Eine Auswertung für Werbezwe- 
cke erfolge definitiv nicht (mehr). 

Wohl kaum einE NutzerIn rechnete 
damit, dass diese Erklärung nicht aus- 
schloss, dass Google anderen Unterneh- 
men dieses Recht einräumen könnte. 
Gemäß einem Pressebericht vom Som- 
mer 2018 haben zahlreiche Entwickler 
von Apps Zugriff auf die Mail-Inhalte 
von Gmail-Nutzenden. Dabei geht es 
zum Beispiel um Apps, die helfen, Mails 
zu sortieren oder Reisepläne auszuar- 
beiten. Zwar müssen Nutzende diesen 


Programmen ausdrücklich den Zugriff 
gewähren. Das geschieht in der Regel 
für die Nutzung von kostenlosen Mail- 
Diensten wie automatischen Reisepla- 
nern oder Preisvergleichs-Portalen. In 
dem Pressebericht wird unter anderem 
die Firma Return Path genannt, die auf 
diese Weise bis zu 100 Millionen E-Mails 
pro Tag analysieren soll. Auch alternati- 
ve Gmail-Clients sichern sich Leserechte 
für das E-Mail-Konto der Anwendenden. 
Der Firmenchef des Entwicklungsstu- 
dios hinter der Mail-App Edison gab zu, 
dass seine Entwickler die Mails Hun- 
derter Nutzender seines Gmail-Clients 
gelesen haben. Diese Praxis sei unter 
App-Entwicklern völlig normal und sei 
durch die AGB der jeweiligen Apps oder 
Dienste abgedeckt. 

Es war bisher unklar, in welchem Aus- 
maß die App-Entwickler dieNachrichten 
auch analysierten. Manche der Drittfir- 
men werten die Nachrichten vollauto- 
matisch aus, andere lassen ihre Mitar- 
beitende von Hand in E-Mails schauen, 
etwa um die eigene Software zu trainie- 
ren. In einigen Tausend Fällen hatten 
Entwickler gemäß den Berichten Mails 
tatsächlich gelesen, um ihre Programme 
noch zielgenauer zu machen. In dem 
Bericht bezeichnet der Cheftechniker 
einer der beteiligten Unternehmen das 
Vorgehen als „üblich“ und als „schmut- 
ziges Geheimnis” der Branche. 

Dies veranlasste einige US-Senatoren, 
Google schriftlich zur Stellungnahme 
aufzufordern. In einem Brief schrieb der 
Konzern nun, er gewähre Entwicklern 
weiterhin Zugriff auf persönliche Mails 
seiner Nutzenden und räume ihnen sogar 
das Recht ein, die Inhalte mit anderen 
zu teilen. Das alles geschehe aber nur, 
wenn sichergestellt sein, dass die Nut- 
zenden darüber aufgeklärt würden, was 
mit ihren Daten geschehe. Darüber hin- 
aus prüfe man regelmäßig den Umgang 
der App-Entwickler mit den Inhalten der 
Nutzenden. Google geht in seiner Stel- 
lungnahme nicht auf die Rechte jener 
ein, die zwar mit Gmail-Nutzenden Mails 
austauschen, die aber niemals einer 
Analyse ihrer Nachrichten zugestimmt 
haben, weil sie selbst gar keine Google- 
Kundinnen sind. 

Für Firmen, die an Kundendaten in- 
teressiert sind, gibt es kaum einen grö- 
ßeren Schatz als die Nachrichten der 
1,4 Milliarden Gmail-Nutzenden. Sie be- 
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inhalten wertvolle Informationen über 
Kaufverhalten, Reisepläne, Finanzen 
und persönliche Vorlieben. Um an diese 
Informationen zu gelangen, bieten sol- 
che Firmen gerne kostenlose Apps an, in 
deren Nutzungsbedingungen Zugriff auf 
die Mails verlangt wird (Conradi, Suchen, 
finden, lesen, SZ 24.09.2018, 19; Nickel, 
Datenschutz: Drittfirmen lesen massen- 
weise Gmail-Postfächer, www.golem.de 
03.07.2018). 


USA 


Aufgekaufte Gründer 
verlassen Facebook 


Anfang August 2018 kündigte Whats- 
app an, erstmals Werbung schalten zu 
wollen. Damit gab das von Facebook 
2014 für etwa 22 Mrd. Dollar aufgekauf- 
te Unternehmen ein Grundprinzip die- 
ses Angebots, dem sich dessen Gründer 
verpflichtet sahen, auf. Die App sollte, 
so der Whatsapp-Gründer Brian Acton, 
frei von Werbung bleiben. Doch die Chefs 
von Facebook, Mark Zuckerberg und She- 
ryl Sandberg, wollten endlich Geld mit 
Whatsapp verdienen. Deshalb verließ der 
heute 46-jährige Acton Facebook 2017 
und verzichtete durch seinen abrupten 
Abgang auf 850 Mio. Dollar, die ihm zu- 
gestanden hätten, wenn er länger bei Fa- 
cebook geblieben wäre. Acton beschrieb 
nun gegenüber dem Magazin Forbes, 
wie Whatsapps Kultur des Respekts ge- 
genüber den Nutzenden mit Facebooks 
Profitmaxime kollidierte. In Facebooks 
Führungsriege seien „gute Geschäftsleu- 
te. Sie stehen nur für eine Reihe von Ge- 
schäftspraktiken, Prinzipien und Ethik, 
mit denen ich nicht unbedingt einver- 
standen bin.” Die Whatsapp-Gründer 
Acton und Jan Koum wurden mehrfache 
Milliardäre. Dem ehemaligen Yahoo-In- 
genieur Acton hatten 20% an Whatsapp 
gehört. Er verließ als erster Facebook; 
Koum folgte ihm im Frühjahr 2018. Mitte 
September 2018 gingen auch die Gründer 
von Instagram, Kevin Krieger und Kevin 
Systrom. Facebook hatte Instagram 2012 
für weniger als eine Milliarde Dollar ge- 
kauft, als es 30 Millionen Nutzende hat- 
te. Inzwischen wird Instagram von über 
einer Milliarde Menschen genutzt. 

Acton berichtet, dass bei Whatsapp in 
Ruhe und überlegt gearbeitet worden 
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war; Facebook habe dagegen nach sei- 
nem Motto „Move fast und break things” 
gehandelt. Die Whatsapp-Gründer hätten 
mit Zuckerberg vereinbart, dass es fünf 
Jahre lang „null Druck“ geben solle, Geld 
zu verdienen. Doch habe Facebook schon 
bald darauf hingearbeitet, Werbung in 
der App zu platzieren. Dagegen hatten 
Acton und Koum den Nutzenden die Ach- 
tung des Datenschutzes versprochen, so 
Acton: „Ich habe die Privatsphäre meiner 
Nutzer für einen größeren Nutzen ver- 
kauft. Ich habe eine Wahl getroffen und 
einen Kompromiss gemacht. Undich lebe 
jeden Tag damit.” Das Geschäftsmodell 
Whatsapp sollte nach den Vorstellungen 
von Acton mit Minibeträgen finanziert 
werden, die die Nutzenden zahlen. Doch 
das widersprach dem Plan Sandbergs, 
die meinte: „Das skaliert nicht.” Skalier- 
barkeit ist ein Mantra für Geschäftsmo- 
delle im Silicon Valley. Ebenso habe ihn 
der Datenaustausch zwischen Whats- 
app und Facebook geärgert. Als die EU- 
Kommission die Übernahme seiner Firma 
durch Facebook prüfte, sei er „gecoacht” 
worden, um zu erklären, dass es tech- 
nisch sehr schwierig sein, die Daten zu 
verschmelzen. Später habe er erfahren, 
dass Facebook genau daran arbeitete. 
Wenig später wurde die Verknüpfung der 
Nutzungsdaten verkündet. Acton ließ 
zudem durchblicken, wie unzufrieden er 
mit dem Krisenmanagement angesichts 
der Einflussnahme im US-Wahlkampf 
gewesen sei. Und im März 2018 twitterte 
Acton in Reaktion auf den Datenskandal 
mit Cambridge Analytica den Hashtag 
#deleteFacebook und forderte auf, der 
Plattform den Rücken zu kehren. 

David Markus, bei Facebook für die 
Messenger-Apps zuständig, widersprach 
Acton: Whatsapp sei bemerkenswert 
viel Eigenständigkeit gewährt worden. 
Whatsapps Ende-zu-Ende-Verschlüsse- 
lung habe Zuckerberg nie in Frage ge- 
stellt, so wie Acton behauptet. 

Mit dem Aufkauf von Whatsapp und 
Instagram hat sich Facebook ein Problem 
vom Hals gehalten: dass ihm die jungen 
Menschen den Rücken zukehren. Auch 
Krieger und Systorm hatten bis zum Ende 
daraufbestanden, dass das übernomme- 
ne Instagram größtenteils unabhängig 
bleibt von Facebook. Weil Instagram für 
den Erfolg des Konzerns immer wich- 
tiger wurde, hatte Zuckerberg vor dem 
Weggang der Gründer sich immer mehr 


eingemischt. Mit dem Abgang wird die 
Fotoplattform wohl noch enger an den 
Konzern gebunden. 

Weitere langjährige Weggefährten Zu- 
ckerbergs verließen jüngst das Unter- 
nehmen. So ging auch Palmer Luckey, 
der Gründer des übernommenen Video- 
brillen-Herstellers Oculus Rift. Insge- 
samt hat Zuckerberg in den vergange- 
nen 18 Monaten alle Gründer verloren, 
deren Unternehmen er eingekauft hat- 
te. Auf die Frage nach seinem Idol, ant- 
wortete Zuckerberg „Augustus“. Dieser 
römische Kaiser hatte sich nach dem 
Tod Julius Cäsars bei den Machtkämp- 
fen um die Nachfolge durchgesetzt und 
die römische Republik in eine Monar- 
chie umgekrempelt. Schon vor Jahren 
nannte er seine Firma das „Mark Zu- 
ckerberg-Produkt”. Er scheint gewillt zu 
sein dafür zu sorgen, dass dies so bleibt 
(Brühl, Die Abrechnung, SZ 28.09.2018, 
15; Warum laufen Facebook die Manager 
weg? Der Spiegel Nr. 40, 29.09.2018, 59; 
Conradi/Wischmeyer, Alleinherrscher, 
SZ 26.09.2018, 20). 


USA 


Google beschafft sich 
Kreditkartendaten von 
Mastercard 


Google hat gemäß Medienberichten ei- 
nen Weg gefunden, um Online-Anzeigen 
mit Offline-Einkäufen zu verknüpfen. 
Hierzu hat der IT-Konzern offenbar einen 
bislang geheimen Vertrag mit der Firma 
Mastercard abgeschlossen, die Trans- 
aktionsdaten von deren KundInnen an 
Google übermittelt. Die Verhandlungen 
dazu sollen vier Jahre gedauert haben. 
Der Bericht stammt vom Mediendienst 
Bloomberg, der sich bei der Geschichte 
auf vier anonyme Quellen, von denen 
drei direktin den Dealinvolviert gewesen 
seien, beruft. Google soll für die Transak- 
tionsdaten mehrere Millionen US-Dollar 
bezahlt haben. 

Ausgewählte Firmen, die bei Google 
Werbung schalten, hatten 2017 Zugriff 
auf ein Tool, das auf den Transaktions- 
daten beruht. So sahen sie, ob Google- 
Nutzende das online beworbene Produkt 
später in einem Laden kauften. Das Tool 
bot Google, soweit bekannt, nur in den 
USA an. Dass diese Verbindung zustan- 
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de kam, wussten die KundInnen nicht, 
da die beiden Unternehmen nie darüber 
informiert haben. 

Christine Bannan vom Electronic Pri- 
vacyInformation Center (EPIC) kritisiert 
die Datenweitergabe: „Die Menschen er- 
warten nicht, dass ihre Einkäufe in ei- 
nem Laden mit ihrem Online-Shopping 
abgeglichen werden.” Die Firmen wür- 
den ihre Pflichten nicht wahrnehmen, 
da sie die KundInnen nicht darüber 
informierten, was sie tun und welche 
Rechte die Kunden hätten. Eine Google- 
Sprecherin gab an, dass keine Informa- 
tionen mit den Werbepartnern geteilt 
würden. Zudem könnten KundInnen das 
Tracking der Kreditkarte in den Konto- 
Einstellungen deaktivieren (Google 
weiß, was seine Nutzer im Laden kau- 
fen, www.lessentiel.lu/de 03.09.2018). 


USA 


Computerirrtum bei Wells 
Fargo: Häuser verloren 


In einem Bericht für das zweite Quartal 
2018, den die US-Bank Wells Fargo bei 
der US-Börsenaufsicht SEC einreichte, 
erwähnt die Bank einen Softwarefehler in 
einem kurzen Abschnitt, wegen dem etwa 
400 KundInnen der US-Bank von Jahr 
2010 an ihre Häuser verloren haben. Dies 
hatte sich bei einer internen Überprüfung 
der Hauskredite ergeben. Fünf Jahre lang 
berechnete eine Software offenbar immer 
wieder falsche Beträge und Gebühren, als 
KundInnen in den USA versuchten, ihre 
Hauskredite anzupassen. Erst im Oktober 
2015 wurde die Software so verändert, 
dass der Fehler nicht mehr auftrat. Bis 
dahin waren schon 625 Kunden betrof- 
fen. Bei etwa 400 von ihnen wurden die 
Kreditanpassungen nicht nur abgelehnt, 
sondern, so der Bericht, auf Basis der 
fehlerhaften Werte auch Zwangsvollstre- 
ckungen durchgeführt. Eine Sprecherin 
von Wells Fargo bestätigte, dass die Kun- 
dInnen ihre Häuser verloren hätten. Die 
Bank entschuldige sich dafür. Wells Fargo 
stellte nach eigenen Angaben acht Milli- 
onen Dollar zurück, um die Betroffenen 
entschädigen zu können. 

Wells Fargo, eine der größten Banken 
der USA, fiel schon mehrmals mit Da- 
tenskandalen auf: Im September 2016 
kam heraus, dass Mitarbeitende teilwei- 
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se mit Kundendaten Millionen gefälsch- 
te Bankkonten erstellt hatten, um damit 
die Zahlen zu schönen. Auch hier muss- 
te Wells Fargo eine Strafe zahlen, sie 
betrug 185 Millionen Dollar. Außerdem 
verloren nach Angaben der Bank Tau- 
sende Mitarbeitende ihren Job. Im ver- 
gangenen Jahr reichte Wells Fargo über 
eine Anwaltskanzlei in einem Gerichts- 
verfahren aus Versehen die vertrauli- 
chen Informationen von fast 50.000 
vermögenden KundInnen weiter, in- 
klusive Sozialversicherungsnummern, 
bezahlten Gebühren und Investment- 
Portfolios (Dornis, Wenn der Computer 
irrt, SZ 07.08.2018, 22). 


Brasilien 


Datenschutzgesetz 
nach DSGVO-Vorbild 
verabschiedet 


Am 14.08.2018 wurde für Brasilien 
ein neues allgemeines Datenschutzrecht 
(Lei Geral de Protecäo de Dados) verab- 
schiedet. Das neue Gesetz führt, dem 
europäischen Recht der Datenschutz- 
Grundverordnung (DSGVO) folgend, flä- 
chendeckende Reglungen zum Schutz 
personenbezogener Daten sowohl für 
den öffentlichen als auch für den pri- 
vaten Sektor, online wie offline, ein. Es 
werden Erlaubnistatbestände für die Da- 
tenverarbeitung geschaffen und Betrof- 
fenenrechte festgelegt. Neben den brasi- 
lianischen Unternehmen und Behörden 
wird das Gesetz auch für ausländische 
Unternehmen gelten, die mindestens 
eine Niederlassung in Brasilien haben 
oder Dienstleistungen für den brasiliani- 
schen Markt anbieten. 

Personenbezogene Daten (dados pes- 
soais) sind alle Daten, die isoliert oder im 
Zusammenhang mit anderen Daten, zur 
Identifizierung einer natürlichen Person 
führen können (Art. 5° inciso I). Dazu 
dürften auch pseudonymisierte Daten 
gezählt werden. Anonymisierte Daten, 
die unter Berücksichtigung der zum 
Zeitpunkt der Datenverarbeitung verfüg- 
baren Zeit, Kosten und technischen Mög- 
lichkeiten nicht zu einer Identifizierung 
der Betroffenen herangezogen werden 
können, fallen nicht darunter. 

Sensitive Daten (dado pessoal sensi- 
vel) werden besonders geschützt wer- 


den. Nach Art. 5° inciso II handelt es 
sich dabei um solche über die rassische 
oder ethnische Herkunft, die religiöse 
Überzeugung, die politische Meinung, 
Gewerkschaftszugehörigkeit oder Zuge- 
hörigkeit zu einer Organisation mit re- 
ligiösen Charakter, die Gesundheit, das 
Sexualleben, oder Daten die eine ein- 
deutige und dauerhafte Identifizierung 
des Betroffenen ermöglichen, wie etwa 
genetische- oder biometrische Daten. 

Es werden zehn Grundsätze (principi- 
os gerais de protecäo) in Art. 6° aufge- 
stellt, die bei der Datenverarbeitung be- 
rücksichtigt werden sollen, u. a. Zweck- 
bindung, Notwendigkeit, die Qualität 
der Daten, Transparenz, Sicherheit, 
Nichtdiskriminierung und das Prinzip 
der Rechenschaftspflicht, wonach der 
für die Verarbeitung Verantwortliche 
und der Datenverarbeiter wirksame 
Maßnahmen des Datenschutzes um- 
fassend und transparent nachweisen 
können müssen. Dies kann durch Da- 
tenschutzüberprüfungen erfolgen, die 
auch gesetzlich geregelt sind. 

Die Betroffenen haben das Recht auf 
Zugang zu den Daten, Berichtigung, Lö- 
schung oder Ausschluss, Widerspruch 
gegen die Behandlung und das Recht 
auf Information und Erklärung über die 
Verwendung der Daten (direitos do titu- 
lar). Wie durch die DSGVO wird auch in 
Brasilien der Betroffene ein Recht auf 
Datenübertragbarkeit haben, welches 
ermöglicht, nicht nur eine Kopie der 
Daten anzufordern, sondern sie auch in 
einem systemkompatiblen Format zur 
Verfügung zu erhalten, das eine Über- 
tragung der Daten auf andere Dienste, 
erleichtern soll. 

Eine Übermittlung in andere Länder 
(transferäncia internacional de dados) 
wird ermöglicht, auch wenn dort kein 
angemessenes Schutzniveau besteht. 
Dies ist in Kapitel V des Gesetzes gere- 
gelt. Die Daten müssen dafür entweder 
auf Grundlage einer Einwilligung der 
Betroffenen übermittelt werden, oder 
der Verantwortliche muss durch ver- 
bindliche Unternehmensregeln und 
Standardklauseln garantieren, dass die 
Grundsätze des Datenschutzes einge- 
halten werden. 

Das Gesetz lässtin Art. 41 den Schluss 
zu, dass künftig jede datenverarbeiten- 
de Stelle, einen Datenschutzbeauftrag- 
ten (encarregado pelo tratamento de 
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dados pessoais) benennen muss. Aller- 
dings kann die noch zu schaffende nati- 
onale Datenschutzbehörde ergänzende 
Voraussetzungen vorgeben, bei deren 
Vorliegen ein Unternehmen keinen DSB 
benennen muss. 

Auch eine Art Folgenabschätzung (re- 
latörio de impacto a protecäo de dados 
pessoais) wird für Datenverarbeitungs- 
tätigkeiten, die bestimmte Risiken 
für die betroffenen Personen mit sich 
bringen können, durchgeführt werden 
müssen. Dabei sind Maßnahmen und 
Schutzvorkehrungen zur Begrenzung 
der Risiken aufzuführen. 

Des Weiteren sind auch Aufzeichnun- 
gen (relatörio de impacto a protecäo 
de dados pessoais) erforderlich, die an 
ein Verarbeitungsverzeichnis erinnern, 
denn es ist jeder Schritt der Datenverar- 
beitung, die Arten der Daten, die jewei- 
lige Rechtsgrundlage, Zwecke, Speicher- 
dauer und die Maßnahmen der Informa- 
tionssicherheit, zu dokumentieren. 

Verantwortliche und Datenverarbeiter 
haben zudem geeignete sicherheits- 
technische und organisatorische Maß- 
nahmen zum Schutz der Daten zu ergrei- 
fen. Die Datenschutzbehörde kann dazu 
technische Mindeststandards festlegen. 
Auch privacy by design und by default 
sollen in Brasilien gelten. 

Die an der Datenverarbeitung Betei- 
ligten werden gesamtschuldnerisch haf- 
ten. Bei Verstößen können Sanktionen 
(Sancöes Administrativas) nach Art. 52 
in Höhe von 2 Prozent des Unterneh- 
mensumsatzes des letzten Geschäftsjah- 
res, begrenzt aufinsgesamt fünfzig Mil- 
lionen Reais (ca. 11,3 Millionen Euro) 
verhängt werden. Datenschutzverlet- 
zungen sind innerhalb eines angemes- 
senen Zeitraumes an die Datenschutz- 
behörde zu melden, welche je nach 
Schwere des Falles die Meldung an alle 
betroffenen Personen oder auch an die 
breite Öffentlichkeit anordnen kann. 

Die vom brasilianischen Gesetzgeber 
vorgesehenen Regelungen ähneln stark 
der europäischen DSGVO. Daraus lässt 
sich schließen, dass eine gegenseitige 
Anerkennung eines angemessenen Da- 
tenschutzniveaus durch die EU-Kom- 
mission und die zukünftig zuständige 
brasilianische Behörde, vorgesehen ist, 
um künftig den Datentransfer zwischen 
brasilianischen und EU-Unternehmen 
zu vereinfachen. 
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Das Gesetz wird ab Anfang 2020 un- 
mittelbar anzuwenden sein. Es wird also 
wie bei der DSGVO eine Frist geben, die 
den brasilianischen Unternehmen Zeit 
gibt, ihre Prozesse datenschutzkonform 
zu gestalten und an das neue Recht an- 
zupassen (Neuer brasilianischer Daten- 
schutz, www.datenschutzbeauftragter- 
info.de 16.08.2018). 


Japan 


Olympische Spiele 2020 mit 
Gesichtserkennung 


In Tokio werden 2020 die ersten 
Olympischen Spiele stattfinden, bei 
denen Gesichtserkennung an allen Ver- 
anstaltungsorten zum Einsatz kommt. 
Die Veranstalter haben am 07.08.2018 
bekannt gegeben, dass eine Adaption 
der „NeoFace”-Technologie von NEC für 
„mehr Sicherheit” sorgen und den Ath- 
letInnen unnötigen Stress ersparen soll. 
An über 40 Veranstaltungsorten sind, so 
Tsuyoshi Iwashita, Sicherheitschef für 
Tokio 2020, Sicherheitschecks durchzu- 
führen: „Die Veranstaltungsorte in Tokio 
haben nicht immer genug Platz für Si- 
cherheitschecks und Warteschlangen”. 
Die Gesichtserkennung soll zumindest 
für voraussichtlich über 300.000 ak- 
kreditierte Personen wie AthletInnen, 
BetreuerInnen, Offizielle und Medien- 
vertreterInnen Abhilfe schaffen. Sie 
werden Fotos bereitstellen müssen, um 
dann von den „Vorteilen der Gesichtser- 
kennung zu profitieren”. 

Iwashita erklärte: „Durch die Ein- 
führung der Gesichtserkennung hof- 
fen wir, hohe Sicherheit, Effizienz und 
reibungslosen Betrieb an Sicherheits- 
Checkpoints zu erreichen.” Die Veran- 
stalter wollen damit insbesondere die 
Wartezeiten verkürzen. Tests im Vorjahr 
hätten gezeigt, dass Checkpoints mit 
Gesichtserkennung mehr als doppelt 
so schnell arbeiten wie konventionel- 
le Systeme. Dadurch sollten die Spiele 
letztlich für die AthletInnen stressfreier 
werden, etwa indem ihnen unnötiges 
langes Schlangestehen bei großer Hitze 
erspart wird. Die Überprüfung soll nur 
0,3 Sekunden dauern. ZuschauerInnen 
sind davon nicht betroffen. 

Zum Einsatz kommt eine auf die Olym- 
pischen Spiele zugeschnittene Version 


der NEC-Gesichtserkennungstechno- 
logie NeoFace. Diese wurde dem Un- 
ternehmen zufolge bereits in Rio 2016 
getestet und vom U.S. National Institute 
of Standards and Technology 2017 als 
beste Video-Gesichtserkennungslösung 
bewertet. Biometriesysteme von NEC 
kommen dem Konzern zufolge mittler- 
weile in 70 Ländern unter anderem auf 
Flughäfen zum Einsatz. Im Sportbereich 
nutzt beispielsweise schon die Frauen- 
Profigolf-Tour LPGA NeoFace als Teil 
ihres Sicherheitskonzepts (Tokio 2020 
setzt auf Gesichtserkennung, www. 
pressetext.com 07.08.2018; Gesichts- 
erkennung in Tokio SZ 08.08.2018, 25). 


Thailand 


Biometrische Identifika- 
tion löst „alte Fälle” 


Die Strafverfolgungsbehörde und die 
Polizei in Bangkok/Thailand haben 
eine Datenbank mit DNA und Fingerab- 
drücken von 48.708 Gefängnisinsassen 
erstellt und damit bei der Aufklärung 
von 46 bisher ungelösten Straffällen 
beigetragen. Polizei-Oberst Narat Sa- 
wettanan berichtete nach einer Diskus- 
sion mit Generalleutnant Panomporn 
Itthiprasert vom Büro für Forensische 
Wissenschaft über die neue Datenbank, 
die Fortschritt bei der Lösung „kalter 
Fälle“ gebracht habe. Einige Insassen 
müssten sich für Verbrechen verantwor- 
ten, für die sie derzeit nicht inhaftiert 
sind. Aufgeklärt worden seien so nati- 
onale Sicherheitsvorfälle, Diebstähle 
und sexuelle Straftaten (DNA und Fin- 
gerabdrücke: „Kalte Fälle“ aufgeklärt, 
der-farang.com 26.10.2018). 


Südkorea 


Kampagne gegen „Spycam- 
Epidemie” 


Am ersten September-Wochenende 
2018 kündigten Behörden der südko- 
reanischen Hauptstadt Seoul an, dass 
8.000 städtische Mitarbeitende auf 
Spycam-Jagd geschickt werden. Mit der 
dreimonatigen Razzia soll eine „Spy- 
cam-Epidemie” insbesondere auf öffent- 
lichen Toiletten, in Umkleidekabinen 
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von Kaufhäusern und Hotelzimmern 
bekämpft werden. Dort werden winzige 
Kameras angebracht, oft nur für eine 
Viertelstunde, mit denen heimlich Film- 
chen aufgenommen werden, die dann 
später auf koreanischen Porno-Websei- 
ten auftauchen. Die Porno-Webseiten, 
von denen es in Südkorea insgesamt ca. 
4.000 geben soll, zahlen viel Geld für ob- 
szöne Filmschnippchen. Die Regierung 
von Präsident Moon Jae-in hatte schon 
im Juni 2018 eine Kampagne gegen Spy- 
cams ausgerufen. 

Die Hemdknopf-großen Geräte selbst 
sind nicht verboten. Sie werden auch in 
Schreibstiften, Brillen und Ladegeräten 
eingebaut und sind kaum aufzuspüren. 
Bevor die Regierung die Gesetze ver- 
schärft hatte, hatte manch ein Krimi- 
neller 1.000 Filmchen hochgeladen und 
damit bis zu hundert Millionen Won (ca. 
75.000 Euro) eingenommen. Wer er- 
wischt wurde, zahlte bisher ein Bußgeld 
von etwa 40 Euro. Im Zuge der Kampag- 
ne sollen auch die Betreiber pornogra- 
fischer Webseiten überprüft werden. Die 
Industrie Südkoreas entwickelt immer 
leistungsfähigere Technologien, doch 
die Gesellschaft ist darauf überhaupt 
nicht vorbereitet. 

Das Phänomen der besonders perfiden 
Form des Voyeurismus, das in Südkorea 
Molkagenanntwird, istnichtneu. Schon 
2011 wurden 2.000 Fälle strafrechtlich 
verfolgt, 2017 waren es 6.300 Fälle. 90% 
der Opfer sind Frauen. Neu dagegen ist 
die kollektive Empörung über Molka. 
Seit Mai 2018 gab esin Seoul vier große 
Demonstrationen, die letzte mit 70.000 
TeilnehmerInnen, unter dem Motto „Un- 
ser Leben ist nicht euer Porno”. Auch 
die #MeToo-Bewegung ist im März 2018 
in Südkorea angekommen. Seither sind 
mehrere prominente Männer öffentlich 
entlarvt worden. Doch hatte die Polizei 
im Frühjahr 2018 auch eine junge Frau 
verhaftet, ein Fotomodell, weil sie ei- 
nen männlichen Kollegen nackt gefilmt 
und den Film auf eine feministische 
Webseite gestellt hatte. Kurz darauf 
ging die Polizei gegen die feministische 
Webseite vor, während sie die üblichen 
Porno-Seiten gewähren ließ. Gegen 
Molka durch Männer wurde lange Zeit 
kaum etwas unternommen. Ein Gericht 
sprach im Sommer 2018 einen Politiker 
von allen Vorwürfen der Vergewaltigung 
und Belästigung frei, obwohl dieser zu- 
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mindest letztere öffentlich halbwegs 
eingestanden hatte. Die großen De- 
monstrationen richteten sich deshalb 
nicht nur gegen Molka, sie prangerten 
die fehlende Gleichbehandlung der Ge- 
schlechter an: „Auch Frauen, nicht nur 
Männer, sind Bürger.” 

Molka und ähnliche pornografische 
Phänomene in Ländern wie Südkorea 
oder auch Japan sind kein Indiz dafür, 
dass diese Länder und diese Gesell- 
schaften besonders sexualisiert sind, 
sondern eher ein Anzeichen für sexu- 
elle Verklemmtheit. Untersuchungen 
von Kondom-Herstellern haben gezeigt, 
dass diese im Kern sehr konservativen 
Gesellschaften im weltweiten Vergleich 
fast am wenigsten Sex haben: Mehr als 
die Hälfte der verheirateten Paare in 
Japan sollen sogar gar keinen Sex mit- 
einander haben. Zwei Drittel derjungen 
Männer sehen sich selbst als sogenann- 
te „herbivor”, also Personen, die gar 
keinen physischen Sex haben wollen. 
In Korea heißen sie „Blumen-Jungs”. 
Viele von ihnen weichen offensichtlich 
auf Internet-Pornografie aus (Neidhart, 
„Unser Leben ist nicht euer Porno”, SZ 
05.09.2018, 10). 


Südkorea 


Verfassungsgericht: 
polizeiliche DNA-Daten- 
bank ist verfassungswidrig 


Das Verfassungsgericht Südkore- 
as entschied am 04.09.2018, dass das 
derzeit im Einsatz befindliche System 
zur Sammlung und Speicherung von 
personenbezogenen Geninformationen 
für polizeiliche Ermittlungen verfas- 
sungswidrig ist. Mit 6 gegen 3 Stimmen 
votierte das aus 9 Richtern bestehende 
Gericht, dass es inakzeptabel ist, dass 
die Strafverfolgqungsbehörden einsei- 
tig DNA-Proben von Verdächtigen sam- 
meln, ohne dass diesen die Möglichkeit 
eingeräumt wird, sich hiergegen zur 
Wehr zu setzen. Die Entscheidung geht 
auf die Klage von zivilgesellschaftliche 
Gruppen zurück, die kritisierten, dass 
bei der Speicherung von DNA-Daten 
diskriminierend vorgegangen werde, 
indem vorrangig Menschen aus sozia- 
len Randgruppen, aus Gewerkschaften 
oder Ausgewiesene erfasst werden. 


Derzeit ist es der Polizei erlaubt, Gen- 
proben aus Blut, Speichel oder Haaren 
von Verurteilten oder inhaftierten Ver- 
dächtigen zu sammeln, nachdem eine 
entsprechende gerichtliche Anordnung 
erlassen wurde. Bei dem Verfahren wird 
den Betroffenen keine förmliche Mög- 
lichkeit zugestanden, hiergegen etwas 
vorzubringen. Die Daten werden dann 
unbefristet in der Polizeidatenbank ge- 
speichert. 

Der Fall wurde von einer Straßen- 
verkäufervereinigung und einer Me- 
tallarbeitergewerkschaft vor Gericht 
gebracht. Beide Organisationen bean- 
standeten, dass von deren Mitglieder 
zwangsweise genetische Informationen 
erfasst wurden, nachdem sie wegen ei- 
nes Sitzstreik-Protests und einer Beset- 
zung privater Grundstücke verurteilt 
worden waren. Das Gericht stellte fest: 
„Das geltende Gesetz sieht nicht aus- 
drücklich ein Verfahren vor, wonach 
die Gerichte beim Erlass einer entspre- 
chenden Anordnung den Betroffenen 
direkte Möglichkeiten einräumen, der 
Gendatensammlung zu widersprechen. 
Das Gesetz ist zwar insofern rechtmä- 
Rig, dass es dem öffentlichen Interesse 
an der Erleichterung strafrechtlicher 
Ermittlungen und der Kriminalitäts- 
vorsorge dient, doch führt das Fehlen 
ausreichender rechtlicher Sicherungen 
dazu, dass die Betroffenen als reine Kri- 
minelle behandelt werden.” Das Gericht 
forderte die Nationalversammlung auf, 
bis zum Jahresende das Gesetz zu über- 
arbeiten (Suh-yoon, Court rules DNA 
collection procedure unconstitutional, 
www.koreatimes.co 04.09.2018). 


China 


Google verknüpft Suchan- 
fragen mit Telefonnummern 


Erstmals wurden vom US-Onlinema- 
gazins „Ihe Intercept“ Details veröf- 
fentlicht, wie die an die Zensuranfor- 
derungen der chinesischen Regierung 
angepasste Suchmaschine von Google 
mit dem Codename „Dragonfly” ausse- 
hen könnte. Demgemäß speichert ein 
Prototyp der Google-Android-App bei- 
spielsweise zu jeder Suchanfrage die 
Telefonnummer des Nutzenden. Verlan- 
gen die Behörden die Herausgabe der 
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Informationen, können sie schnell und 
einfach herausfinden, wer wann nach 
unliebsamen Dingen gegoogelt hat. Zu- 
vor war schon berichtet worden, dass 
Google für die chinesische Version sei- 
ner Suchmaschine eine Liste mit verbo- 
tenen Begriffen zusammengestellt hat. 
Unter anderem finden sich darauf die 


chinesischen Begriffe für „Studenten- 
protest“, „Nobelpreis“ und „Menschen- 
rechte”. Google plant offenbar, seine 
chinesische Zweigstelle nicht alleine 
aufzubauen, sondern als Joint-Venture 
mit einem chinesischen Unternehmen. 
Der Kuschelkurs mit der chinesischen 
Regierung ist innerhalb des Google- 


Technik-Nachrichten 


Imperiums nicht unumstritten: Min- 
destens fünf Mitarbeitende haben laut 
„Ihe Intercept” wegen der China-Politik 
des Unternehmens gekündigt (Kalupp- 
ke, Bericht: Google verknüpft in China 
Suchanfrage und Telefonnummer, www. 
heise.de 16.09.2018). 


Genetische Bestimmung 
der Haarfarbe kommt voran 


ForscherInnen haben auf der Suche 
nach Genen, die die Haarfarbe beein- 
flussen, das Erbgut von insgesamt knapp 
300.000 Menschen durchkämmt. Bislang 
waren 13 Gene bekannt. Eine im Fach- 
blatt „Nature Genetics” veröffentlichte 
Studie fand insgesamt 124 Genregionen, 
die über eine blonde, braune, schwarze 
oder rote Mähne mitbestimmen. 

Manfred Kayser vom Medizinischen 
Zentrum der Erasmus Universität Rot- 
terdam, der die Studie mitgeleitet hat, 
meinte: „Das ist eine große Zahl.” Bei 
vorherigen Analysen mussten sich die 
Forschenden mit Erbgutproben von we- 
nigen tausend Menschen begnügen, de- 
ren Haarfarbe ihnen bekannt war. Dabei 
lassen sich nur Gene finden, die einen 
relativ großen Einfluss auf das Merkmal 
Haarfarbe haben. Doch 13 Gene konn- 
ten allein nicht komplett erklären, wie 
das Erbgut den Haaren den Ton angibt. 
Zwillingsstudien zufolge hängt die Haar- 
farbe bis zu 97% vom Erbgut, kaum von 
Umwelteinflüssen ab. Gemäß dem For- 
schungsbericht haben Frauen im Durch- 
schnitt helleres Haar als Männer. Schwar- 
ze und rote Haare konnten die Forschen- 
den mit relativ hoher Genauigkeit vor- 
hersagen. Für braune und blonde Haare 
waren die Prognosen weniger akkurat. 

Kaysers Team arbeitete mit Timothy 
Spector vom King’s College London und 
damit mit der britischen Biobank Initia- 
tive und der US-Firma 23andMe zusam- 
men, die sowohl die Gendaten als auch 
Informationen über das äußere Erschei- 
nungsbild von 133.238 beziehungswei- 
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se 157.653 Menschen mit europäischer 
Herkunft beisteuerten. In 124 Genregi- 
onen, eine davon auf dem Geschlechts- 
chromosom „X“, fanden die Forschen- 
den Abweichungen, die die Erblichkeit 
von roten Haaren zu 35% erklären, das 
von blonden Haaren zu 25% und von 
schwarzen zu 26%. 

Dass so viele Gene zu diesem wich- 
tigen äußerlichen Merkmal von Men- 
schen beitragen, kam für Kayser nicht 
unerwartet: „Es hätten auch noch mehr 
sein können.” Wie genau die einzelnen 
Genvarianten zum Entstehen der Haar- 
farbe beitragen, soll weiter untersucht 
werden. Mehr als 100 Genregionen 
waren zuvor nicht mit menschlicher 
Pigmentierung in Zusammenhang ge- 
bracht worden. So gibt es beispielsweise 
solche, die üblicherweise die Apoptose 
regulieren, also das Selbsttötungspro- 
gramm der Zellen, die nun aber auch 
zur Haarfarbe beitragen sollen. Auch 
was Gene für die Pigmentierung tun, die 
sonst das Wandern von Zellen steuern, 
ist bisher unbekannt. 

Dass zumindest einige der neu ent- 
deckten Haarfarb-Gene wohl auch die 
Augen- und Hautfarbe beeinflussen 
dürften, wäre hingegen wenig überra- 
schend, so Kayser: „Schon von den zu- 
vor bekannten 13 Haarfarbgenen wissen 
wir, dass alle außer einem alle drei Pig- 
mentierungsmerkmale des Menschen 
beeinflussen.” Das liegt daran, dass die 
Farbstoffe Eumelanin und Pheomelanin 
in Haut, Haar und Auge von den glei- 
chen spezialisierten Zellen, den Mela- 
nozyten produziert werden. Sie stecken 
in der Haut und in den Haarwurzeln und 
auch in der Iris des Auges. 


Kayser hofft, dass das neue Wissen 
sich positiv auf das Verständnis von 
Krankheiten auswirkt, die mit Pigmen- 
tierung zusammenhängen, etwa Haut- 
krebs. Darüber hinaus sollte sich aller- 
dings auch das Herauslesen des äuße- 
ren Erscheinungsbildes eines Täters aus 
der DNA von Blut- und Spermaspuren 
eines Tatorts verbessern lassen, die so- 
genannte „DNA-Phänotypisierung”. 

Über hundert Genregionen können 
die Forschenden in der DNS(DNA)-Spur 
eines Täters ohnehin nicht überprüfen. 
Dafür finde sich, so Kayser, an einem 
Tatort iin der Regel vielzu wenig Erbgut, 
das noch dazu meist in schlechtem Zu- 
stand ist: „Es gibt zwar Methoden, die 
Hunderttausende von Erbgutvarianten 
überprüfen können, aber dafür reicht 
eben die DNS-Menge und der Erhal- 
tungszustand nicht aus.” Kayser arbei- 
tet im EU-Projekt „Visage“ an Lösungen 
für diese technologische Hürde. Bis es 
soweit ist, werden im „HIresPlex“-Test 
für die Bestimmung von Augen- und 
Haarfarbe, den Kaysers Labor entwi- 
ckelt hat, nur die 24 aussagekräftigsten 
Genvarianten abgefragt, um Merkmale 
aus Täter-DNS zu bestimmen. Eine Er- 
weiterung der Methode, mit der sich 
nun zusätzlich auch die Hautfarbe be- 
stimmen lässt, stellte Kayser Mitte Ap- 
ril 2018 im Fachblatt „Forensic Science 
International: Genetics” vor. Dabei 
werden insgesamt 41 Erbgutvarianten 
abgefragt. 

In Deutschland sind solche Tests für 
Strafverfolgungszwecke (noch) nicht 
anwendbar. Die Zulassung in Bayern für 
Zwecke der Gefahrenabwehr ist hoch 
umstritten (DANA 2018, 18-25). Eine 
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Initiative der Bundesländer Bayern 
und Baden-Württemberg, die Strafpro- 
zessordnung zu ändern, ruht seit der 
Bundestagswahl. Kayser kritisiert: „Es 
ist eine vergebene Chance, die DNS- 
Phänotypisierung in Deutschland nicht 
zu nutzen.” Andere Länder in Europa 
seien weniger zurückhaltend. In der 
Schweiz soll das Thema noch in diesem 
Jahr im Nationalrat diskutiert werden. 


Und in Staaten wie Schweden, Spanien 
oder Polen könne DNS ohnehin wie jede 
andere Tatort-Spur auch untersucht 
werden. Dort ist nur das Speichern von 
Erbgutdaten eingeschränkt, was bei der 
DNS-Phänotypisierung nicht nötig sei. 
In den Niederlanden, wo der gebürtige 
Berliner Kayser forscht, war die Gesetz- 
gebung schneller als die Forschung. 
Das Parlament hatte schon Rahmenbe- 


dingungen beschlossen, bevor die fo- 
rensischen Techniken existierten. Dem- 
nach können - nach parlamentarischer 
Prüfung - alle äußerlich erkennbaren 
Merkmale, die etwa auch ein Augen- 
zeuge berichten könnte, aus Täter-DNS 
ermittelt werden (Karberg, Mehr als 120 
Gene entscheiden über die Haarfarbe, 
www.tagesspiegel.de 17.04.2018; 124 
Gene, SZ 17.04.2018, 14). 


Rechtsprechung 


EGMR 


Großbritannien wegen 
GCHQ-Massenüberwachung 
verurteilt 


Eine Kammer des Europäischen Ge- 
richtshofs für Menschenrechte (EGMR) 
hat am 13.09.2018 Großbritannien 
wegen der massenhaften Ausspähung 
von JournalistInnen und AktivistInnen 
als Verstoß gegen die Grundrechte auf 
Meinungs- und Pressefreiheit sowie auf 
Schutz des Privatlebens (Art. 10 und 8 
Europäische Menschenrechtskonven- 
tion - EMRK) verurteilt (Nr. 58170/13, 
62322/14, 24960/15). Die Überwa- 
chung hatte der frühere US-Geheim- 
dienstmitarbeiter, Computerexperte 
und Whistleblower Edward Snowden 
2013 enthüllt. Betroffen waren unter 
anderem ein Netzwerk von investigati- 
ven JournalistInnen, die Bürgerrechts- 
organisation Big Brother Watch und 
Nichtregierungsorganisationen. 16 von 
ihnen hatten in Straßburg Klage ein- 
gereicht. Prüfungsgegenstand des Ge- 
richts war nicht nur die Überwachungs- 
praxis, sondern auch das diese legiti- 
mierende Gesetz, der Regulation of In- 
vestigatory Powers Act (RIPA) aus dem 
Jahr 2000. Eine Strafe droht der briti- 
schen Regierung durch das Urteil nicht. 
Allerdings muss der Staat einen Teil der 
Verfahrenskosten erstatten, insgesamt 
185.000 €. Schadenersatzforderungen 
gab es nicht. Das Urteil kann innerhalb 
von drei Monaten angefochten werden. 
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Gemäß dem Urteil verletzt die mas- 
senhafte Ausspähung die in der Euro- 
päischen Menschenrechtskonvention 
(EMRK) verbrieften Rechte auf freie 
Meinungsäußerung sowie auf Schutz 
des Privatlebens der VertreterInnen der 
Presse und der Bürgerrechtsorganisa- 
tionen (Art. 10, 8 EMRK). Die Überwa- 
chung durch den britischen Geheim- 
dienst GCHQ sei keiner „angemessenen 
und unabhängigen Kontrolle” unter- 
worfen. Die Kriterien für die Auswahl 
der untersuchten Mails seien nicht klar 
definiert. Dies wiege umso schwerer, als 
dass die fraglichen Kommunikationen 
„sehr viele Dinge über die Gewohnhei- 
ten und die Kontakte” der überwachten 
Personen enthüllten. Einen Verstoß ge- 
gen Art. 6 EMRK sah das Gericht nicht, 
womit ein Recht auf gerichtliches Gehör 
garantiert werden soll. 

„Besonders besorgt” zeigte sich der 
Gerichtshof über die Bedingungen, unter 
denen „vertrauliche Informationen von 
Journalisten gezielt zur Überprüfung 
ausgesucht werden können“. Die Über- 
wachungsbehörden könnten so Zugang 
zu den Quellen der Presse erlangen. Al- 
lein diese Möglichkeit könne „eine ab- 
schreckende Wirkung” auf Journalistin- 
nen haben und somit die Pressefreiheit 
(Art. 10 EMRK) einschränken. 

Hinzu komme, dass das britische 
Überwachungsgesetz einer großen Zahl 
von Behörden die Möglichkeit gebe, un- 
ter unzureichend definierten Bedingun- 
gen bei den Telekommunikationsunter- 
nehmen Zugang zu den Kommunikati- 
onen ihrer KundInnen zu beantragen. 


Dies gelte auch für die Kommunikation 
von JournalistInnen. Dies verstoße ge- 
gen eine Regelung der EU, wonach Kom- 
munikationsunternehmen solche In- 
formationen nur zum Zweck der Verbre- 
chensbekämpfung weitergeben dürfen, 
und dies nur unter Kontrolle eines Ge- 
richts oder eineranderen unabhängigen 
Stelle. Als Mitglied der Europäischen 
Union sei Großbritannien verpflichtet, 
deren Vorschriften einzuhalten. 

Silkie Carlo, Direktorin von Big 
Brother Watch, zeigte sich mit dem 
Richterspruch zufrieden: „Unter dem 
Vorwand der Terrorbekämpfung hat das 
Vereinigte Königreich eines der auto- 
ritärsten Überwachungssysteme der 
westlichen Staaten eingeführt. Dieses 
Urteil ist ein wichtiger Schritt, um Mil- 
lionen von rechtschaffenen Bürgern vor 
ungerechtfertigten Eingriffen in ihr Pri- 
vatleben zu schützen.” 

2013 hatte Edward Snowden enthüllt, 
dass der britische Geheimdienst GCHQ 
in großem Umfang Informationen aus 
Kabeln abzweigte, über die die Kommu- 
nikationsdaten zwischen Großbritanni- 
en und den USA fließen. Die Erkennt- 
nisse wurden zum Teil mit US-Geheim- 
diensten ausgetauscht. Dies ist gemäß 
dem Gericht rechtens. Die Regeln dafür 
seien ausreichend klar formuliert gewe- 
sen. Anzeichen für Missbrauch gebe es 
nicht. Seit der Enthüllung hat es um- 
fangreiche Gesetzesänderungen gege- 
ben. Das Innenministerium in London 
erklärte, es seien mehrstufige Verfahren 
eingeführt worden, um die Überwa- 
chung zu begrenzen. Zudem sei der Pos- 
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ten eines unabhängigen Beauftragten 
geschaffen worden, der die Einhaltung 
der Vorschriften kontrolliere. Gegen den 
Whistleblower Snowden liegt ein inter- 
nationaler Haftbefehl vor. Erlebt derzeit 
in Russland im Asyl (European Court of 
Human Rights, Press Release ECHR 299 
(2018) v. 13.09.2018, Some aspects of 
UK surveillance regimes violate Con- 
vention; Gericht verurteilt Großbri- 
tannien wegen Massen-Ausspähung 
von Journalisten, www.tagesspiegel. 
de 13.09.2018; Großbritannien wegen 
Massenüberwachung verurteilt, www. 
zeit.de 13.09.2018; Verletzte Rechte, 
SZ 14.09.2018, 37). 


EuGH 


Geringer Grundrechtsein- 
griff rechtfertigt Nutzung 
von TK-Verkehrsdaten 


Gemäß einem Urteil des Europäischen 
Gerichtshofs (EuGH) vom 02.10.2018 
dürfen europäische Behörden zur Auf- 
klärung wenig schwerer Straftaten auf 
gespeicherte Telekommunikations- 
(TK-)Verkehrsdaten zugreifen, wenn 
der damit verbundene Eingriff in die 
Privatsphäre weniger schwer wiegt (C- 
207/16). Damit erfolgte eine Präzisie- 
rung seines Urteils vom 21.12.2016 
(C-203/15 u. C-698/15, DANA 2017, 
60 f.). Im vorliegenden Fall ging es um 
den Raub einer Handtasche in Spanien 
und um die Frage, ob die Ermittlungsbe- 
hörden die Herausgabe jener Daten ein- 
fordern dürfen, die ab dem Raub für bis 
zu zwölf Tage vom Provider gesammelt 
wurden. Dies wurde vom EuGH bejaht. 

Gemäß dem Urteil ist der Zugriff auf 
solche Daten beim Provider ein schwe- 
rer Eingriff in die Privatsphäre. Nur in 
Ausnahmefällen, etwa aus Gründen der 
nationalen Sicherheit, zur Wahrung der 
öffentlichen Sicherheit oder für die Lan- 
desverteidigung dürfen Mitgliedstaaten 
diese Rechte der Bürger einschränken. 
Im vorliegenden Fall gehe es aber nicht 
um einen solchen Tatbestand. Aus dem 
gewünschten Datenzugriff ließen sich 
keine genauen Schlüsse auf das Pri- 
vatleben der Eigentümerin des Handys 
ziehen, daes nur um Daten geht, die ge- 
sammelt wurden, nachdem ihr das Gerät 
gestohlen worden war. Darin liege kein 


DANA ® Datenschutz Nachrichten 4/2018 


„schwerer Eingriff” in die Grundrechte. 
Der Datenzugriff erfolge zum Zweck der 
Verhütung, Ermittlung, Feststellung 
und Verfolgung einer „Straftat“ im All- 
gemeinen und sei dadurch gerechtfer- 
tigt. 

Im Dezember 2016 hatte der EuGH die 
Regelungen zur TK-Vorratsdatenspei- 
cherung in Großbritannien für grund- 
rechtswidrig erklärt. Das Unionsrecht 
stehe grundsätzlich einer nationalen 
Regelung entgegen, „die eine allgemei- 
ne und unterschiedslose Speicherung 
von Daten vorsieht”. Bestimmte Daten 
werden von Providern aber etwa für die 
Abrechnung eine gewisse Zeit gespei- 
chert. In engen Grenzen ist dem EuGH 
zufolge dann auch ein behördlicher Zu- 
griff auf diese Daten erlaubt (Holland, 
EuGH zur Vorratsdatenspeicherung: Be- 
hördenzugriff fallweise leichter, www. 
heise.de 02.10.2018). 


EuGH 


Urheberrechtsverstoß bei 
Neuveröffentlichung von 
Internet-Foto 


Der Europäische Gerichtshof (EuGH) 
entschied am 07.08.2018, dass die Ver- 
öffentlichung eines Fotos auf einer Web- 
seite ohne eine neue Zustimmung des 
Fotografen urheberrechtlich unzulässig 
ist, auch wenn das Foto im Internet frei 
zugänglich war (Az. C-161/17). Ein Fo- 
tografhatte das Land Nordrhein-Westfa- 
len wegen eines aufder Homepage einer 
Schule des Landes eingestellten Bilds 
verklagt. Im Streitfall hatte eine Schü- 
lerin einer Gesamtschule im nordrhein- 
westfälischen Waltrop ein Foto der spa- 
nischen Stadt Cördoba für ein Referat 
verwendet, das sie aus einem Reisepor- 
tal im Internet kopiert und das Portal 
auch als Quelle benannt hatte. Mitsamt 
dem Foto wurde das Referat auf der 
Homepage der Schule veröffentlicht. 

Der Fotograf wurde von dem Reisepor- 
tal nicht benannt, sah sich aber durch 
die Kopie in seinen Urheberrechten 
verletzt. Er hatte den Betreibern des 
Portals erlaubt, auf ihrer Website das 
Foto zu veröffentlichen. Der deutsche 
Bundesgerichtshof (BGH) in Karlsru- 
he hatte den Fall dem EuGH vorgelegt. 
Der BGH wollte vom EuGH in Luxemburg 


wissen, wie die Urheberrechtsrichtlinie 
in einem solchen Fall auszulegen ist. 
Konkret wollte der BGH wissen, ob der 
Begriff der „öffentlichen Wiedergabe” 
auch die Einstellung eines Fotos auf ei- 
ner Website erfasst, wenn dieses zuvor 
ohne Beschränkung und mit Zustim- 
mung des Urheberrechtsinhabers auf ei- 
ner anderen Seite veröffentlicht wurde. 
Der EuGH bejahte diese Frage. Denn da- 
durch werde das Bild einem „neuen Pub- 
likum“ zugänglich gemacht (Enge Gren- 
zen bei Verwendung fremder Fotos auch 
auf Schulhomepage, www.epochtimes. 
de 07.08.2018). 


BGH 


Unterlassungsanspruch 
begründet keine Pflicht zur 
umfassenden Internetbe- 
reinigung 


Der Bundesgerichtshof (BGH) in 
Karlsruhe entschied in einem Beschluss 
vom 12.07.2018, dass eine Rundfunk- 
anstalt, die gerichtlich zur Entfernung 
eines fehlerhaften Beitrags verpflichtet 
worden ist, diesen lediglich aus der ei- 
genen Mediathek entfernen und sicher- 
stellen muss, dass gängige Suchmaschi- 
nen den Beitrag in ihren Suchergeb- 
nissen nicht auffindbar machen (I ZB 
86/17). Konkret ging es um einen Fern- 
sehbeitrag der NDR-Sendung „Markt“ 
vom 13.03.2017 mit dem Titel „Wirbel 
um belasteten Bauschutt in Hannover”. 
Eine darin genannte Person erwirkte 
wegen verschiedener Äußerungen in 
dem Beitrag eine gerichtliche Unter- 
lassungsverfügung. Danach durfte der 
Fernsehsender diesen nicht weiter ver- 
breiten oder verbreiten lassen. 

Der NDR entfernte den Beitrag aus 
seiner Mediathek und beantragte des- 
sen Löschung bei den gängigen Inter- 
netsuchmaschinen, insbesondere Goog- 
le. Doch auf Youtube hatte eine dritte 
Person den Beitrag ebenfalls veröffent- 
licht, wo er mindestens 153mal aufge- 
rufen wurde. Der Antragsteller meinte, 
dass der NDR gegen die Unterlassungs- 
verfügung verstoßen habe. Der Beitrag 
sei weiter verbreitet worden. Das Land- 
gericht Hannover verhängte deshalb 
gegen den Sender ein Ordnungsgeld 
in Höhe von 5.000 Euro. Die sofortige 
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Beschwerde des NDR führte aber dazu, 
dass das Oberlandesgericht (OLG) Celle 
den Vollstreckungsantrag zurückwies. 
Der BGH wies die Rechtsbeschwerde 
gegen die OLG-Entscheidung zurück. 
Mit der Unterlassungsverfügung sei der 
NDR verpflichtet worden, den Fernseh- 
beitrag aus seiner Mediathek zu ent- 
fernen. Auch müsse der Sender auf die 
gängigen Suchmaschinen einwirken, 
dass der Beitrag nicht mehr in den Su- 
chergebnissen erscheint. Die Unterlas- 
sungspflicht werde aber grundsätzlich 
nicht verletzt, wenn ein Dritter den 
Beitrag selbstständig in einem Inter- 
netvideoportal veröffentlicht. Der NDR 
müsse auch nicht anlassunabhängig 
Videoplattformen und soziale Medien 
dahingehend durchforsten, ob ande- 
re Personen den Beitrag rechtswidrig 
veröffentlicht haben. Nur bei Kenntnis 
müsse er auf eine Entfernung des Bei- 
trags - hier bei Youtube - hinwirken. 
Dem sei der NDR nachgekommen (NDR 
muss Youtube nicht nach zu löschen- 
den Beiträgen durchsuchen, chrismon. 
evangelisch.de 28.09.2018). 


BGH 


Zufriedenheitsbefragung 
ist Werbung 


Eine Kundenzufriedenheitsbefra- 
gung per E-Mail ist gemäß einem Urteil 
des Bundesgerichtshofs (BGH) vom 
10.07.2018 als Werbung auch dann un- 
zulässig, wenn sie mit der Rechnung 
für ein gekauftes Produkt versendet 
wird (VIZR 225/17-LG Braunschweig). 
Der BGH klärte damit, inwieweit die 
Verknüpfung des Versands einer Rech- 
nung per E-Mail mit der Bitte um eine 
Zufriedenheitsbewertung in derselben 
Mail zulässig ist. Geklagt hatte ein 
Kunde, der über die Internet-Plattform 
„Amazon Marketplace” Ware bestellt 
hatte. Die Abwicklung des Geschäfts 
erfolgte über Amazon. Im Nachgang 
hatte der Verkäufer die Rechnung mit 
einer E-Mail versendet, in der er sich 
außerdem für den Kauf bedankte und 
um eine gute Bewertung bat, falls der 
Käufer mit dem Service zufrieden ge- 
wesen sei. Der Käufer sah in dieser E- 
Mail eine unaufgeforderte unerlaubte 
Zusendung von Werbung, die in sein 
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allgemeines Persönlichkeitsrecht ein- 
greife. 

Das Amtsgericht Braunschweig hatte 
die Klage zunächst abgewiesen, eben- 
so das Berufungsgericht, das aber eine 
Revision und damit ein Weiterverfolgen 
des Klagebegehrens zuließ. Der BGH 
entschied zugunsten des Klägers: Das 
Versenden von Werbung per elektroni- 
scher Post ist grundsätzlich ein Eingriff 
in die Privatsphäre des Empfängers und 
damit in sein allgemeines Persönlich- 
keitsrecht, wenn dies ohne vorherige 
Einwilligung des Empfängers erfolgt. 
Eine Kundenzufriedenheitsbefragung 
fällt auch dann unter den Begriff der 
(Direkt-)Werbung, wenn sie zusammen 
mit der Rechnung für ein gekauftes Pro- 
dukt versendet wird. Denn, so der BGH, 
es ist für den Verkäufer zumutbar, nach 
Abschluss der geschäftlichen Transakti- 
on gemäß 8 7 Abs. 3 Gesetz gegen den 
unlauteren Wettbewerb (UWG), dem 
Empfänger die Möglichkeit einzuräu- 
men, einer Verwendung seiner E-Mail- 
Adresse für Werbung zu widersprechen, 
bevor er mit einer Werbemail in dessen 
Privatsphäre eindringt. Anderenfalls ist 
der Eingriff grundsätzlich rechtswidrig. 
Der Beklagte wurde zur Unterlassung 
verurteilt, bei Zuwiderhandlung ist ein 
vom Gericht festzusetzendes Ordnungs- 
geld von bis zu 250.000 Euro, ersatzwei- 
se Ordnungshaft von bis zu sechs Mo- 
naten am Geschäftsführer zu vollziehen 
(Roos, BGH-Urteil: Kundenzufrieden- 
heitsumfrage unzulässig, www.heise. 
de. 16.09.2018). 


BGH 


Bild muss Schmerzensgeld 
an Kachelmann zahlen 


Der Bundesgerichtshof (BGH) ent- 
schied mit Beschluss vom 23.07.2018 
über eine Beschwerde des Medienkon- 
zerns Axel Springer wegen der Verlet- 
zung von Persönlichkeitsrechten von 
Wettermoderator Jörg Kachelmann (VI 
ZR 352/16). Gegenstand der beanstan- 
deten Berichterstattung von „Bild“ 
waren Vergewaltigungsvorwürfe, von 
denen Kachelmann 2011 freigespro- 
chen wurde. Dieser nahm den Medien- 
konzern in Höhe von insgesamt 530.000 
Euro in Anspruch. Die Axel Springer SE 


hatte beanstandet, dass eine Revision 
gegen ein Urteil des Oberlandesgerichts 
Köln vom 12.07.2016 (15 U 175/15) 
nicht zugelassen war. Das Urteil wird 
nun rechtskräftig und eine Schmerzens- 
geld-Entschädigung in Höhe von rund 
235.000 Euro fällig, inklusive Schadens- 
ersatz und Zinsen seit August 2010. Ein 
Springer-Sprecher erklärte zunächst, 
man habe die Entscheidung „mit Be- 
dauern zur Kenntnis genommen”. Da 
sie „der Bedeutung der grundrechtlich 
geschützten Berichterstattung nicht 
angemessen” sei, prüfte man die Mög- 
lichkeit einer Verfassungsbeschwerde 
(Bongen, „Bild“ muss Kachelmann er- 
neut Schmerzensgeld zahlen, www.ndr. 
de 26.09.2018; Schmerzensgeld für Ka- 
chelmann SZ 16.04.2018, 25). 


BAG 


Kein Verwertungsverbot 
von Videobildern bei länge- 
rer Speicherung 


Das Bundesarbeitsgericht (BAG) ent- 
schied mit Urteil vom 24.08.2018, dass 
die Speicherung von Bildsequenzen aus 
einer rechtmäßigen offenen Videoüber- 
wachung, die vorsätzliche Handlungen 
einer Arbeitnehmerin zulasten des Ei- 
gentums des Arbeitgebers zeigen, nicht 
durch bloßen Zeitablauf unverhältnis- 
mäßig wird, solange die Ahndung der 
Pflichtverletzung durch den Arbeitge- 
ber arbeitsrechtlich möglich ist (2 AZR 
133/18). Die Klägerin war in einem vor- 
mals von dem Beklagten betriebenen 
Tabak- und Zeitschriftenhandel mit an- 
geschlossener Lottoannahmestelle tä- 
tig. Dort hatte der Beklagte eine offene 
Videoüberwachung installiert. Mit den 
Aufzeichnungen wollte er sein Eigen- 
tum vor Straftaten sowohl von KundIn- 
nen als auch von eigenen Beschäftigten 
schützen. Im 3. Quartal 2016, also von 
Juli an, stellte die Beklagte einen Fehl- 
bestand bei Tabakwaren festgestellt. 
Bei einer im August 2016 vorgenom- 
menen Auswertung der Videoaufzeich- 
nungen durch zwei Mitarbeiterinnnen, 
die insgesamt 10 Stunden gedauert 
haben soll, habe sich gezeigt, dass die 
Klägerin an zwei Tagen im Februar 2016 
vereinnahmte Gelder nicht in die Re- 
gistrierkasse gelegt habe. Dies ist auf 
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den Videos aber nicht zu sehen; die Un- 
terschlagung wurde der Beschäftigten 
vorgeworfen, weil sie auf verdächtige 
Weise mit der Geldkassette in der Hand 
den Verkaufsraum verlassen und kurz 
danach wieder betreten hatte. Der bean- 
standete Fehlbetrag betrug 80,50 Euro. 
Der Beklagte kündigte daraufhin das Ar- 
beitsverhältnis außerordentlich fristlos. 
Die Frau arbeitete auf 450-Euro-Basis 
und will mit ihrer Klage die Rücknahme 
ihres Rauswurfs erreichen. Der Laden, 
in dem sie arbeitete, ist allerdings mitt- 
lerweile geschlossen. 

Ob die Frau das Geld tatsächlich un- 
terschlagen hat, ist strittig. Die Vorins- 
tanzen haben der dagegen gerichteten 
Kündigungsschutzklage stattgegeben. 
Das Arbeitsgericht Iserlohn fand durch 
die Videoaufnahmen den Nachweis 
nicht erbracht. Das LAG wollte sich mit 
dieser Frage gar nicht befassen, weil 
zwischen Aufnahme und Auswertung 
so viel Zeit vergangen war, dass die Bil- 
der „keinen zulässigen Beweis für die 
Richtigkeit der Behauptungen” erge- 
ben könnten. Es hatte am 20.12.2017 
geurteilt, die Erkenntnisse aus den Vi- 
deoaufzeichnungen unterlägen einem 
Verwertungsverbot (2 Sa 192/17). Der 
Arbeitgeber hätte die Bildsequenzen 
„unverzüglich“, jedenfalls deutlich vor 
dem 01.08.2016 löschen müssen. Auf 
dessen Revision hob das BAG das LAG- 
Berufungsurteil hinsichtlich des Kün- 
digungsschutzantrags auf und verwies 
die Sache zur neuen Verhandlung und 
Entscheidung an das LAG. Sollte es sich, 
was der BAG-Senat nach den bisherigen 
Feststellungen nicht beurteilen konnte, 
um eine rechtmäßige offene Videoüber- 
wachung gehandelt haben, wäre die 
Verarbeitung und Nutzung der einschlä- 
gigen Bildsequenzen nach BAG-Ansicht 
gemäß 8 32 Abs. 1 Satz 1 BDSG a. F. 
zulässig gewesen und hätte dement- 
sprechend nicht das durch Art. 2 Abs. 1 
i.V.m. Art. 1Abs. 1 GG geschützte allge- 
meine Persönlichkeitsrecht der Klägerin 
verletzt. Der beklagte Arbeitgeber hätte 
das Bildmaterial nicht sofort auswer- 
ten müssen: „Er durfte hiermit solange 
warten, bis er dafür einen berechtigten 
Anlass sah.” Sollte die Videoüberwa- 
chung rechtmäßig erfolgt sein, stün- 
den auch die Vorschriften der seit dem 
25.05.2018 geltenden Datenschutz- 
Grundverordnung einer gerichtlichen 
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Verwertung der erhobenen personenbe- 
zogenen Daten der Klägerin im weiteren 
Verfahren nicht entgegen. 

Der Fall hat noch eine weitere Spezi- 
alität: Der Arbeitgeber kündigte seiner 
Mitarbeiterin nicht nur fristlos, son- 
dern forderte die Erstattung der für ihre 
Überführung als Täterin entstandenen 
Kosten, insgesamt 430 Euro plus Zinsen. 
Das LAG hatte diese Forderung abge- 
lehnt (BAG PMNr. 40/18, Offene Video- 
überwachung - Verwertungsverbot v. 
23.08.2018; Esslinger, Der Chef schaut 
zu, SZ 24.08.2018, 5). 


OVG Münster 


Ausweiskontrolle wegen 
Hautfarbe rechtswidrig 


Das Oberverwaltungsgericht (OVG) 
Münster hat am 07.08.2018 geurteilt, 
dass die Personenkontrolle eines Mannes 
durch zwei Beamte unter anderem wegen 
seiner dunklen Hautfarbe rechtswidrig 
war (5 A 294/16). Der heute 43-Jährige 
war im November 2013 am Bochumer 
Hauptbahnhof kontrolliert worden, sei- 
ner Ansicht nach wegen seiner dunklen 
Hautfarbe. Der Wittener verklagte die 
Bundespolizei und bekam Recht. 

Das OVG entschied, dass diese Aus- 
weiskontrolle ein Verstoß gegen das 
im Grundgesetz verankerte Diskrimi- 
nierungsverbot war. In der mündlichen 
Urteilsbegründung wurde betont, dass 
Polizeibeamte nur dann auch die Haut- 
farbe als Anknüpfungspunkt für eine 
Kontrolle auswählen dürfen, wenn aus- 
reichende Anhaltspunkte für Straftaten 
vorliegen. Dafür könnten beispielswei- 
se fundierte Kriminalitätsstatistiken 
benutzt werden. Der Rechtsvertreter der 
Polizei konnte allerdings im Verfahren 
keine überzeugenden Kriminalitätssta- 
tistiken für den Hauptbahnhof Bochum 
vorlegen. Aus den vorgelegten Statisti- 
ken ergab sich, dass der Großteil der re- 
gistrierten Straftaten für den Bochumer 
Bahnhof auf das Konto von Deutschen 
ging. Richterin Riccarda Brandts er- 
läuterte: „Die bloße Behauptung, dass 
zum Großteil Nordafrikaner für Eigen- 
tumsdelikte verantwortlich sind, reicht 
nicht. Die Behörde hat eine erhöhte 
Darlegungslast.” Auch habe es sich 
nicht um eine illegale Einreise handeln 


können: „Der Kläger hat den Bahnhof ja 
von außen betreten.” Die Polizei hatte 
argumentiert, der Mann habe sich auf- 
fällig verhalten und das sei damals auch 
ein Grund für die Kontrolle gewesen. Das 
Gericht, das mit seiner Entscheidung 
ein Urteil des Verwaltungsgerichts Köln 
aus der ersten Instanz von 2016 (20 K 
7847/13) kippte, ließ keine Revision 
zum Bundesverwaltungsgericht zu. 
Das sogenannte „Racial Profiling” ist 
rechtswidrig (Personenkontrolle wegen 
Hautfarbe in Bochum war rechtswidrig, 
wwwi.wdr.de 07.08.2018; Ausweiskon- 
trolle wegen Hautfarbe rechtswidrig SZ 
08.08.2018, 5). 


OLG Köln 


Recht am Bild nach KUG gilt 
weiterhin 


Das Oberlandesgericht (OLG) Köln hat 
mit einer Entscheidung vom 18.06.2018 
festgestellt, dass mit dem Wirksamwer- 
den der Datenschutz-Grundverordnung 
(DSGVO) das Kunsturhebergesetz (KUG) 
für die Medienberichterstattung gültig 
bleibt (15 W 27/18). Es war schon bisher 
unzulässig, Aufnahmen von Personen 
ohne deren Einwilligung zu veröffent- 
lichen. & 23 KUG regelt einige Aus- 
nahmen: Bildnisse der Zeitgeschichte, 
Fotos von Großereignissen oder Auf- 
nahmen, in denen die Personen nur als 
Beiwerk des eigentlichen Inhalts zu 
sehen sind. Ob eine solche Ausnahme 
vorliegt, müssen im Zweifel die Gerichte 
klären. Mit der Wirksamkeit der DSGVO 
stellte sich die Frage, ob nun grundsätz- 
lich die Zustimmung jedes Abgebildeten 
notwendig ist. 

Das OLG wies darauf hin, dass der eu- 
ropäische Gesetzgeber mit Artikel 85 
DSGVO den nationalen Gesetzgebern ei- 
nen Gestaltungsspielraum gelassen hat, 
da ein Spannungsfeld zwischen Daten- 
schutz einerseits und journalistischer 
Berichterstattung andererseits besteht. 
Um diesen Widerspruch auszugleichen, 
darf ein Land eigene Regelungen fin- 
den. Das Gericht stellte klar, dass mit 
dem Art. 85 verhindert werden soll, dass 
der Datenschutz die Meinungs- und 
Kommunikationsfreiheit einschränkt. 

Die nationalen Regelungen in ein 
neues Gesetz zu fassen, schreibe die DS- 
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GVO nicht vor. Mit dem Kunsturheberge- 
setz verfüge man in Deutschland über 
ein geeignetes Mittel zur Ausgestaltung 
des Art. 85. Die Regelung lasse zahlrei- 
che Abwägungsmöglichkeiten zu. Auch 
europarechtliche Aspekte könnten hier 
zur Geltung kommen. Dies bedeutet, 
dass für den begrenzten Bereich der 
Veröffentlichung von Fotos zur journa- 
listischen Berichterstattung auch nach 
Wirksamwerden der DSGVO das KUG die 
Handlungsrichtlinien vorgibt. Nicht er- 
fasst von dem Urteil ist allerdings der 
vorhergehende Schritt: das Anfertigen 
von Fotos, das ebenfalls als Verarbei- 
tung von Daten im Sinne der DSGVO an- 
zusehen ist. Auch über das Onlinestel- 
len zu nicht-journalistischen Zwecken 
durch Künstler, Unternehmen, Blogger 
oder Privatpersonen hat das Gericht 
keine Aussage getroffen (Evers, DSGVO- 
Urteil: Bei Veröffentlichung journalis- 
tischer Fotos gilt Kunsturhebergesetz, 
www.e-recht24.de 02.07.2018). 


VG Bayreuth 


Gehashter E-Mail-Adres- 
senabgleich über Facebook 
Marketing Tool ohne Einwil- 
ligung unzulässig 


Mit Beschluss vom 08.05.2018 ent- 
schied das Verwaltungsgericht (VG) 
Bayreuth im Rahmen eines einstweili- 
gen Rechtsschutzverfahrens, dass die 
Bildung einer „Custom Audience“ bei Fa- 
cebook durch Hochladen einer gehash- 
ten Email-Liste datenschutzrechtlich 
unzulässig ist (Az. B1S 18.105). Dabei 
handelt es sich um eine Überschnei- 
dungsanalyse zwischen Nutzerdaten der 
Plattform und gehashten Daten von On- 
line-Shops. Die kurz vor dem Inkrafttre- 
ten der DSGVO gefällte Entscheidung er- 
folgte noch auf der Grundlage des alten 
Bundesdatenschutzgesetzes (BDSG), 
ist aber inhaltlich voll auf die neue 
Rechtslage übertragbar. Das Bayerische 
Landesamt für die Datenschutzaufsicht 
(BayLDA) durfte zur Gewährleistung des 
Datenschutzrechts Maßnahmen zur Be- 
seitigung festgestellter Verstöße bei der 
personenbezogenen Datenverarbeitung 
anordnen. 

Personenbezogene Daten sind danach 
auch gegeben, wenn ein „Hashen” er- 
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folgt, da der Personenbezug hierdurch 
nicht völlig aufgehoben wird. Es ist 
weiterhin mit nicht nur unverhältnis- 
mäßigem Aufwand möglich, die Daten 
einer bestimmten oder bestimmbaren 
Person zuzuordnen, zumal andernfalls 
auch ein sich an die Übermittlung an- 
schließender Datenabgleich seitens 
Facebook nicht möglich wäre. Das VG 
trat dem Standpunkt des BayLDA bei, 
wonach es sich bei der Übermittlung der 
gehashten E-Mail-Adressen der Kunden 
der klagenden Onlineshop-Betreiberin 
nicht um eine Datenweitergabe im Rah- 
men einer Auftragsdatenverarbeitung 
handelt, sondern um eine Übermittlung 
an Dritte. Zwar betraute die Onlineshop- 
Betreiberin Facebook damit, Daten zu 
verarbeiten. Auf die Rechtsnatur dieser 
Betrauung kommt es dabei nicht an, 
ein Auftrag i. S. v. 8 662 BGB ist nicht 
erforderlich. Facebook habe einen ei- 
genen Wertungs- und Entscheidungs- 
spielraum. Deshalb ging das VG bei 
vorliegenden Sachverhaltsgestaltung 
nicht von einer Auftragsdatenverarbei- 
tung aus, sondern vielmehr von einer 
sog. „Funktionsübertragung”. Die Ver- 
einbarung zwischen der Onlineshop- 
Betreiberin und Facebook bezog sich 
auf die Durchführung der Überschnei- 
dungsanalyse und die Erstellung einer 
Vergleichsaudience. Dabei handelt Fa- 
cebook nicht als „verlängerter Arm“ der 
Onlineshop-Betreiberin, da es allein im 
Ermessen Facebooks liegt, dem insoweit 
ein entsprechender Spielraum einge- 
räumt wird, wer konkret beworben wird. 

Das VG räumte ein, dass Gestaltungs- 
möglichkeit bestehen, wonach eine 
Stelle eine Doppelfunktion einnimmt 
und nebeneinander zugleich Auftrags- 
datenverarbeiterin und verantwortliche 
Stelle ist. Dies war hier aber nicht der 
Fall, da das Marketing Tool „Facebook 
Custom Audience über die Kundenliste” 
einen einheitlichen Vorgang bildet und 
das Instrument nicht in verschiedene 
Teile zerlegt werden kann. Daran ändert 
sich nichts dadurch, dass sich der ein- 
heitliche Vorgang aus mehreren daten- 
schutzrechtlich relevanten Vorgängen 
zusammensetzt. Die Übermittlung der 
(gehashten) E-Mail-Adressen ist integ- 
raler Bestandteil der Werbemaßnahme. 

Für die Bewerbung einzelner Perso- 
nen mit dem Werkzeug kommt es maß- 
geblich daraufan, dass Facebook diesen 


bestimmte Eigenschaften durch detail- 
lierte Auswertung des Nutzungsverhal- 
tens zuschreibt. Hierin liegt der Spiel- 
raum Facebooks, der über eine rein da- 
tenverarbeitende Hilfsfunktion, durch 
die eine Auftragsdatenverarbeitung ge- 
kennzeichnet ist, deutlich hinausgeht. 

Im Verfahren des einstweiligen 
Rechtsschutzes nicht abschließend ge- 
klärt wurde die streitige Frage, ob und 
gegebenenfalls in welchem Umfang Fa- 
cebook zu einer weiteren Nutzung der 
Daten berechtigt ist bzw. diese statt- 
findet (etwa durch eine „Anreicherung 
des Profils”). Das Gericht stellte aber 
klar, dass bei einer Überlassung der 
Nutzungsrechte an den Daten unzwei- 
felhaft eine Funktionsübertragung 
stattfindet. Nach Durchführung des 
Abgleichs werden die übermittelten 
Informationen von Facebook nicht voll- 
ständig gelöscht, sondern registriert, 
dass der Betroffene Teil der Custom Au- 
dience der Onlineshop-Betreiberin ist. 
Die Onlineshop-Betreiberin stellte sich 
auf den Standpunkt, dass die Schritte, 
die nach dem Datenabgleich stattfin- 
den, sich allein in der Zuständigkeit 
Facebooks vollziehen. Genau dies ist für 
das VG eine Bestätigung, dass hier eine 
Funktionsübertragung erfolgt. 

Für eine Übermittlung der gehash- 
ten E-Mail-Adressen sah das VG keine 
Rechtsgrundlage. Es läge weder eine 
wirksame Einwilligung vor, noch könne 
sich die Onlineshop-Betreiberin auf das 
sog. „Listenprivileg” stützen (8 28 Abs. 3 
S. 2 BDSG-alt), da es sich bei E-Mail- 
Adressen nicht um gesetzlich abschlie- 
ßend aufgezählte sog. Listendaten han- 
delte. Das VG ließ das Vorbringen der 
Onlineshop-Betreiberin nicht gelten, 
dass in der Übertragung der gehashten 
E-Mail-Adressen nur die Information 
enthalten sei, dass jemand (möglicher- 
weise) Kunde der Onlineshop-Betreibe- 
rin ist. Ebenso lehnte das VG die Argu- 
mentation ab, dass es sich bei der Über- 
mittlung nur um ein „Hinzuspeichern” 
handele oder um Werbung für fremde 
Angebote, was eine Übermittlung an 
Dritte ausschließt. 

Auch im Rahmen einer Interessen- 
abwägung nach & 28 Abs. 15. 1Nr. 2 
BDSG-alt, die dem Art. 6 Abs. 1 lit. f 
DSGVO entspricht, sah das VG Bayreuth 
keine Rechtfertigung für die Daten- 
übermittlung an Facebook. Dabei griff 
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das Gericht auf die Wertungen des 8 28 
Abs. 3 BDSG-alt zurück, wonach die 
Verarbeitung und Nutzung personenbe- 
zogener Daten für Zwecke der Werbung 
grds. nur zulässig war, wenn der Be- 
troffene eingewilligt hat. Hinsichtlich 
des Custom Audience von Facebook sah 
das Gericht ein Überwiegen der Betrof- 
fenenrechte. Es erfolge keine Nutzung 
für eigene Werbezwecke, sondern eine 
Übermittlung an Dritte. Die Stelle, die 
die Daten erstmalig erhoben hat, also 
die Onlineshop-Betreiberin, müsse we- 
gen des Transparenzgebots eindeutig 
den konkreten Werbezweck erkennen 
lassen und der Weiterverarbeiter, woher 
er die Listen hat, etwa durch Angabe des 
Namens und der Anschrift des Adress- 
händlers. Nur so könne der Betroffene 
sein Widerspruchsrecht wahrnehmen. 
Der Umstand, dass es sich um Angebo- 
te der Onlineshop-Betreiberin handelt, 
die dem Betroffenen bei Facebook ange- 
zeigt werden, reicht insoweit nicht aus, 
zumal die Stelle, die die Daten zum Zwe- 
cke der Werbung verwendet und die, 
zu deren Gunsten die Werbung erfolgt, 
auseinanderfallen können (etwa bei der 
Beipack- und Empfehlungswerbung). 

Auch die konkrete Ausgestaltung der 
Widerspruchsmöglichkeit wurde vom 
VG kritisiert. Die Onlineshop-Betreibe- 
rin führte aus, dass sie (erst) seit dem 
22.08.2017 einen konkreten Hinweis 
auf die Übermittlung der E-Mail-Adres- 
sen an Facebook gibt. Früher erfasste 
Daten befänden sich eventuell nach wie 
vor aufder hochgeladenen Kundenliste, 
ohne dass sichergestellt ist, dass sie von 
den aktuellen Datenschutzhinweisen 
Kenntnis genommen haben. 

Für die Zulässigkeit einer Datenüber- 
mittlung genüge nicht die Geeignetheit 
oder Zweckmäßigkeit zur Wahrung be- 
rechtigter Interessen, sondern deren 
Erforderlichkeit. Eine Berufung auf die 
Abwägungsklausel käme so lange nicht 
in Betracht, wie diese ihr Informati- 
onsziel anders erreichen kann. Der On- 
lineshop-Betreiberin sei es ohne einen 
unverhältnismäßig großen Aufwand 
möglich, im Einzelfall eine Einwilligung 
zur Übermittlung der Daten an Face- 
book einzuholen. 

Wegen der Rechtswidrigkeit der Da- 
tenübermittlung an Facebook war das 
BayLDA berechtigt, von der Onlineshop- 
Betreiberin die Beseitigung des festge- 
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stellten Verstoßes zu verlangen, indem 
sie ohne erkennbare Ermessensfehler 
eine Löschungsanordnung verfügte 
(www.gesetze-bayern.de, Zur Zulässig- 
keit der Erhebung, Verarbeitung und 
Nutzung personenbezogener Daten; 
Benedikt, Bayerisches Verwaltungs- 
gericht entscheidet über Einsatz von 


Facebook-Marketing-Tool, BvD-News 
2/2018, 46 ff.). 

LG Würzburg 
DSGVO-Abmahnung gegen 
Rechtsanwalt 


Das Landgericht hat mit Beschluss 
vom 13.09.2018 im Rahmen eines einst- 
weiligen Verfügungsverfahrens wegen 
Dringlichkeit ohne mündliche Verhand- 
lung folgenden Beschluss zur einer Ab- 
mahnung eines Anwaltes gegen eine 
Anwältin erlassen (110 1741/18 UWG): 

„l. Der Antragsgegnerin wird unter- 
sagt, für ihre berufliche Tätigkeit als 
Rechtsanwältin die unverschlüsselte 
Homepage XXX ohne Datenschutzerklä- 
rung nach der Datenschutz-Grundver- 
ordnung der EU (DSGVO 2016/679) vom 
27.04.2016 in deren Geltungsbereich zu 
betreiben. 

II. Der Antragsgegnerin wird für jeden 
Fall der Zuwiderhandlung die Verhän- 
gung eines Ordnungsgeldes von bis zu 
250.000,00 €, ersatzweise Ordnungshaft 
bis zu 2 Jahren, sowie die Verhängung 
einer Ordnungshaft von bis zu 6 Mona- 
ten angedroht. 

... V. Der Streitwert wird auf 2.000,00 
€ festgesetzt. 

Gründe: Die Zuständigkeit des Ge- 
richts ergibt sich hier aus 8 14 Abs. 2 
UWG (Begehungsort, fliegender Ge- 
richtsstands bezüglich des Internets) 
und nicht aus 8 32 ZPO, wie von Antrag- 
stellerseite angegeben. 

Dem Antragsteller steht ein Verfü- 
gungsanspruch auf Unterlassung zu, 
da der Antragsteller glaubhaft gemacht 
hat, dass die Antragstellerin bezüg- 
lich ihrer Homepage gegen die Daten- 
schutzgrundverordnung (DSGVO), die 
spätestens seit 25.05.2018 umzusetzen 
ist, verstößt. Die im Impressum der An- 
tragsgegnerin enthaltene 7-zeilige Da- 
tenschutzerklärung genügt der neuen 
DSGVO nicht. Es fehlen Angaben zum/ 


zur Verantwortlichen, zur Erhebung 
und Speicherung personenbezogener 
Daten sowie Art und Zweck deren Ver- 
wendung, eine Erklärung zur Weiterga- 
be von Daten, über Cookies, Analyse- 
tools, aber vor allem die Belehrung über 
die Betroffenenrechte, insbesondere 
Widerspruchsrecht, Datensicherheit 
und ein Hinweis zur Möglichkeit, sich 
bei einer Aufsichtsbehörde zu beschwe- 
ren. Mit dem OLG Hamburg (3 U 26/12) 
und dem OLG Köln (8 U 121/15) geht 
das erkennende Gericht davon aus, 
dass es sich bei den Vorschriften, gegen 
die hier verstoßen wurde, um Verstöße 
gegen das Wettbewerbsrecht gemäß 8 4 
Nr. 11 UWG bzw. jetzt $ 3a UWG han- 
delt und somit vom Antragsteller ab- 
gemahnt werden konnte. Dass die An- 
tragsgegnerin Daten erhebt, wird schon 
aus der gleichzeitigen Verwendung 
eines Kontaktformulars auf der Home- 
page indiziert. Da die Antragsgegnerin 
jedenfalls über ein Kontaktformular 
Daten erheben kann, ist zwingend auch 
eine Verschlüsselung der Homepage er- 
forderlich, die hier fehlt. 

Gem. 8 8 Abs. 3 UWG ist der Antrag- 
steller aktiv legitimiert, die beanstan- 
deten Gesetzesverstöße geltend zu 
machen. Es besteht das erforderliche 
Wettbewerbsverhältnis aufgrund der 
Möglichkeit, als Rechtsanwalt bundes- 
weit tätig zu werden. 

Die erforderliche Wiederholungsge- 
fahr wird durch das rechtsverletzende 
Verhalten indiziert. Somit ist der Verfü- 
gungsanspruch gegeben. 

Ein Verfügungsgrund ist bei wettbe- 
werbsrechtlichen Unterlassungsansprü- 
chen gem. & 12 Abs. 2 UWG indiziert. 
Nach Aufforderung des Gerichts hat der 
Antragsteller zudem glaubhaft gemacht, 
dass er innerhalb der von der Rechtspre- 
chung angenommenen Monatsfrist erst 
von den Verstößen Kenntnis erlangt hat 
und dass somit keine Selbstwiderlegung 
der Dringlichkeit durch zu langes Zu- 
warten vorliegt. 

Dem Antrag konnte nicht dahinge- 
hend entsprochen werden, der An- 
tragsgegnerin eine vom Gericht festzu- 
setzende Vertragsstrafe anzudrohen. 
Der Antragsgegnerin sind vielmehr 
für den Fall der Zuwiderhandlung ge- 
gen das erlassene Verbot die in 8 890 
Abs. 1 ZPO vorgesehenen Ordnungsmit- 
tel anzudrohen. 
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Das Gericht hat die einstweilige 
Verfügung wegen Dringlichkeit ohne 
mündliche Verhandlung erlassen, & 937 
Abs. 2 ZPO. Eine Schutzschrift wurde im 
Übrigen nicht hinterlegt.” 


LG Bochum 


Keine Wettbewerbsklage 
bei Datenschutzverstößen 


Anders als - wie oben dokumentiert 
- das LG Würzburg entschied das Land- 
gericht (LG) Bochum mit Teil-Versäum- 
nis- und Schlussurteil vom 07.08.2018, 
dass Datenschutzverstöße von Wettbe- 
werbern nicht abmahnfähig sind (I-12 
0 85/18): 

„Keinen Erfolg hatte der Antrag hin- 
gegen, soweit ein Verstoß gegen Artikel 
13 der Datenschutzgrundverordnung 
geltend gemacht wird. Denn dem Verfü- 
gungskläger steht ein solcher nicht zu, 
weil die Datenschutzgrundverordnungin 
den Artikeln 77 bis 84 eine die Ansprü- 
che von Mitbewerbern ausschließende, 
abschließende Regelung enthält. Die 
Kammer verkennt dabei nicht, dass die- 
se Frage in der Literatur umstritten ist 
und die Meinungsbildung noch im Fluss 
ist. Die Kammer in ihrer derzeitigen Be- 
setzung schließt sich der besonders von 
Köhler (ZD 2018, 337 sowie in Köhler/ 
Bornkamm/Feddersen, UWG, 36. Aufl. 
2018, 83 aRn. 1.40 aund 1.74 b, im Er- 
gebnis auch Barth WRP 2018, 790; ande- 
rer Ansicht Wolff, ZD 2018, 248) vertrete- 
nen Auffassung an. Dafür spricht insbe- 
sondere, dass die Datenschutzgrundver- 
ordnung eine detaillierte Regelung des 
anspruchsberechtigten Personenkreises 
enthält. Danach steht nicht jedem Ver- 
band ein Recht zur Wahrnehmung der 
Rechte einer betroffenen Person zu, 
sondern nur bestimmten Einrichtungen, 
Organisationen und Vereinigungen ohne 
Gewinnerzielungsabsicht unter weiteren 
Voraussetzungen. Hieraus ist zu schlie- 
ßen, dass der Unionsgesetzgeber eine Er- 
streckung auf Mitbewerber des Verletzers 
nicht zulassen wollte (Köhler, ZD 2018, 
337, 338). Wegen der weiteren Einzel- 
heiten der Argumentation kann auf die 
zitierten Literaturstellen Bezug genom- 
men werden.” 

Die Frage einer „Sperrwirkung” der 
DSGVO für wettbewerbsrechtliche Sank- 
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tionen ist nicht neu. Die EG-Daten- 
schutzrichtlinie 1995 (DSRI) enthielt 
in den Art. 22 bis 24 DSGVO Regelungen 
zu Sanktionen, und in dem Düsseldorfer 
„Fashion ID“-Fall wandten die Beklag- 
ten seinerzeit ein, dass es eine „Speir- 
wirkung“ der Art. 22 bis 24 DSRI gegen- 
über 8 3a UWG gebe. Das OLG Düsseldorf 
hielt dies für so gewichtig, dass er dem 
EuGH in seinem Vorlagebeschluss vom 
19.01.2017 (I-20 U 40/16) eine ent- 
sprechende Frage stellte: 

„Steht die Regelung in Artikeln 22, 
23 und 24 der Richtlinie 95/46/EG zum 
Schutz natürlicher Personen bei der 
Verarbeitung personenbezogener Daten 
und zum freien Datenverkehr vom 24. 
Oktober 1995 (ABl. Nr. L 281/31 vom 


Ehmann, Eugen/Selmayr, Martin 
DS-GVO Datenschutz-Grundverord- 
nung - Kommentar 

C.H. Beck, 2. Aufl. 2018, ISBN 978-3- 
406-72006 2, 1132 S., 149,00 € 


(tw) Die Geschwindigkeit, mit wel- 
cher der C. H. Beck-Verlag mit einer 
zweiten Auflage der Kommentierungen 
zur DSGVO auf dem Markt ist, ist er- 
staunlich. Nach dem Paal/Pauly, dem 
Gola und dem Kühling/Buchner, die 
jeweils neu das BDSG und dessen Erläu- 
terung aufgenommen haben, ist also 
jetzt der Ehmann/Selmayr aktualisiert. 
Mit Datenschutz lässt sich derzeit ver- 
legerisch offenbar Geld verdienen. Die 


23.11.1995) einer nationalen Regelung 
entgegen, die neben den Eingriffsbe- 
fugnissen der Datenschutzbehörden 
und den Rechtsbehelfsmöglichkeiten 
des Betroffenen gemeinnützigen Ver- 
bänden zur Wahrung der Interessen der 
Verbraucher die Befugnis einräumt, im 
Falle von Verletzungen gegen den Ver- 
letzer vorzugehen?” 

Der EuGH hat diesen Fall noch nicht 
entschieden, es gibt auch noch keine 
Stellungnahme des Generalanwalts. 
Art. 22 ff. DSRl und Art. 77 ff. DSGVO 
sind nicht identisch. Es ist aber wenig 
wahrscheinlich, dass der EuGH den Fall 
„Fashion ID“ nach altem Recht entschei- 
det, ohne einen Fingerzeig zur Rechts- 
lage nach der DSGVO zu geben. 


Buchbesprechungen 


zweite Auflage von Ehmann/Selmayr 
baut vollständig auf der ersten Auflage 
auf (dazu DANA 2017, 179 f.), erweitert 
aber die Informationen um aktuelle Ent- 
wicklungen und neue Literatur und Ge- 
setzgebung. Das deutsche BDSG sowie 
das österreichische DSG werden doku- 
mentiert und teilweise knapp im Zusam- 
menhang mit den Artikeln zur DSGVO 
erläutert. Neu ist z. B. auch bei Art. 95 
eine Zusammenfassung der geplanten 
ePrivacy-Verordnung. Dies führte dazu, 
dass zwar die Seitenzahl in etwa gehal- 
ten wurde, doch das Format vergrößert 
werden musste. 

Bei der Kommentierung der aktuellen 
Gesetzgebung wird die Umsetzung in 
Österreich teilweise kritisch und inhalt- 
lich hinterfragt, wobei aber die kurz vor 
dem 25.05.2018 erfolgten Verschlech- 
terungen nicht berücksichtigt wurden. 
Die begründete Kritik am deutschen 
BDSG fällt, wenn überhaupt, dagegen 
eher knapp und verhalten aus. Damit 
wird die Linie der ersten Auflage fortge- 
schrieben, die auch im Hinblick auf die 
EU-Gremien sich mit nötiger Kritik oder 
der Auseinandersetzung hierzu hinterm 
Berg hält. Dies ist dadurch erklärbar, 
dass viele der KommentatorInnen (zwei 
Frauen und 20 Männer) der Brüsseler 
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Datenschutz-Nomenklatura angehören. 

Hierin liegt aber auch eine Stärke des 
Kommentars: die europäische Brille mit 
einem besonderen Auge auf den EuGH, 
die EU-Gremien und die Insider-Sicht. 
Dies macht das Werk auch für die wis- 
senschaftliche Diskussion interessant, 
wobei Fragen der praktischen Umset- 
zung und der technische Datenschutz 
weniger ausführlich behandelt werden. 
Das Dilemma der Vielfalt der deutschen 
DSGVO-Literatur besteht weiterhin dar- 
in, dass sie nicht nur vielfältig, sondern 
auch selektiv ist, was es bei speziellen 
Einzelfragen immer nötig macht, meh- 
rere Werke zu Rate zu ziehen, um viel- 
leicht dann doch keine befriedigende 
Antwort zu bekommen. Dies gilt auch 
für den „Ehmann/Selmayr“. Das liegt 
nicht nur daran, dass wir es hier mit ei- 
ner neuen Rechtsmaterie zu tun haben. 


kandt | Steicke Ing] 


Jandt, Silke/ 

Steidle, Roland, Datenschutz 
Datenschutz im Internet 
Rechtshandbuch zu DSGVO und BDSG 
Nomos, 2018, 532 S., ISBN 978-3-8487- 
4856-3, 89,00 € 


(tw) Das durch den Titel gegebene 
Versprechen, den Datenschutz im Inter- 
net umfassend in einer systematischen 
Darstellung präsentiert zu bekommen, 
macht neugierig. Das letzte Mal, dass 
ein Buch mit dem Titel „Datenschutz im 
Internet” veröffentlicht wurde, 2002 mit 
Peter Schaar als Autor, war zu einer tech- 
nisch und rechtlich anderen Zeit. Die Au- 
torInnen der einzelnen Kapitel steigern 
die Neugierde: MitarbeiterInnen von 
Aufsichtsbehörden (Ambrock, Jandt, 
Karg, Krasemann) WissenschaftlerInnen 
(Geminn, Hermonies, Selzer, Wilmer), 
ein Berater (Hammer) und Rechtsanwäl- 
te (Aßmus, Karsten, Steidle), zumeist 
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Jung, aus fortschrittlichen Publikationen 
schon bekannt und nicht durch allzu vie- 
le Publikationen festgelegt. 

So schwingt die Hoffnung mit, dass 
„Datenschutz im Internet” gegen den 
Strich gebürstet wird. Die Lektüre lässt 
dann aber eine gewisse Ernüchterung 
eintreten: Das Buch zeichnet sich nicht 
durch disruptiven Datenschutz aus, son- 
dern eher durch gediegene juristische 
Bearbeitung der Datenschutzthemen 
entlang der üblichen Argumentations- 
linien. Die Qualität resultiert aus einem 
hohen technischen Verständnis der Ma- 
terie und einer gezielten Ausrichtung 
auf Internetanwendungen, wobei alle 
klassischen Datenschutzfragen in Be- 
zug auf das Internet an Hand der jüngs- 
ten Veröffentlichungen (bis Mai 2018) 
bearbeitet werden: Webdienste, Cloud 
Computing, Office-Tools, Suchmaschi- 
nen, Webanalyse, Online-Werbung, So- 
cial Networks bis zu den sog. OTT-Kom- 
munikationsdiensten. Anders alsin den 
meisten juristischen Kommentierungen 
kommt der technisch-organisatorische 
Datenschutz dabei nicht zu kurz. Viel- 
mehr wird, ausgehend von der Beschrei- 
bung der Technik eine qualifizierte 
rechtliche Bewertung vorgenommen. 
Angesichts der Vielzahl der AutorInnen 
finden sich Redundanzen und Behand- 
lungen eines Themas aus verschiedenen 
Blickwinkeln, wobei aber - anders als 
bei vielen DSGVO/BDSG-Kommentaren 
- eine klare einheitliche Linie verfolgt 
wird. 

Hinsichtlich der Struktur orientiert 
sich die Darstellung an der der DSGVO 
und - was irritiert bzw. zumindest ver- 
blüfft - am EU-Kommissions-Entwurfzur 
E-Privacy-Verordnung. Das Handbuch 
wird so zu einer vorweggenommenen 
Kommentierung dieser E-Privacy-Ver- 
ordnung. Dies ist zweifellos verdienst- 
voll, muss aber hinterfragt werden: Es 
ist eher unwahrscheinlich, dass eine 
Ratsposition zur E-Privacy-Verordnung 
im Jahr 2019 zustande kommt, und erst 
recht, dass der Trilog dazu abgeschlos- 
sen sein wird. Mit einem Wirksamwer- 
den der Regeln ist also frühestens 
2020/2021 zu rechnen. Für die Über- 
gangszeit vertröstet das Handbuch auf 
die DSGVO und die E-Privacy-Richtlinie. 
Der Datenschutzteil des TMG wird ein- 
fach für überholt erklärt. So praktikabel 
diese Argumentation auch sein mag, so 


wenig kann sie dogmatisch und in den 
Einzelfallanwendungen überzeugen, 
werden doch damit geltende, parlamen- 
tarisch gefasste gesetzliche Regelungen 
per Kommentierung für obsolet erklärt. 

Eine allzu leichtfertige Übernahme 
der Positionen des Handbuchs sollte 
deshalb nicht erfolgen, auch wenn, 
und das ist ein großer Pluspunkt, re- 
gelmäßig die Position der Aufsichts- 
behörden nicht nur referiert, sondern 
qualifiziert vertreten wird. Insofern 
ist das Werk auch von hohem wissen- 
schaftlichem Wert, wenngleich dann 
Gegenpositionen oft nur am Rande zu 
Wort kommen. So kann man - anders 
als die AutorInnen - wohl der Meinung 
sein, dass je nach Anwendungsfall das 
TMG weiterhin Bedeutung hat, dass 
Art. 5 Abs. 3 der E-Privacy-Richtlinie 
sich nur auf Cookies und nicht generell 
auf Tracking-Identifikatoren bezieht, 
oder mit dem deutschen Bundesge- 
richtshof, dass Anonymität bei inhaltli- 
chen Internetveröffentlichungen durch 
die Meinungsfreiheit gefordert ist, auch 
bei Portalangeboten. 

Das Thema Meinungsfreiheit im 
Netz spielt in der Praxis eine gewal- 
tige Rolle und wird in dem Buch auch 
erwähnt, doch nur ganz am Rande, 
z. B. zu Bewertungsportalen oder zum 
Netzwerkdurchsetzungsgesetz. Auch 
der Konflikt zwischen Datenschutz und 
Urheber-, Patent-, Verlags- und Mar- 
kenrechte wird nicht vertieft, obwohl 
genau dort aktuelle Streitlinien beste- 
hen und in Zukunft liegen werden. Es 
wäre auch spannend gewesen, etwas 
über die kartell- bzw. wettbewerbs- 
rechtliche und verbraucherrechtliche 
Seite der Internetdatenverarbeitung 
und deren Bezüge zum Datenschutz, zu 
den Monopol-Aktivitäten der großen 
US- oder auch der aufkommenden chi- 
nesischen Unternehmen und über das 
ökonomische und politische Profiling 
durch diese Firmen zu lesen. Das Priva- 
cy-Shield, eine zentrale Stütze der ak- 
tuellen Internet-Kommunikation, wird 
in gerade einmal 2 Randnummern eher 
neutral abgehandelt. Über die konkre- 
ten Praktiken von Facebook, Google, 
Microsoft, Apple und Amazon könnte 
man in einem Handbuch wie dem vor- 
liegenden mehr erwarten. 

Der Ansatz dieses Handbuchs, sich auf 
Internetdatenschutz zu konzentrieren, 
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ist bestechend. Sein Material und seine 
Positionen sind hoch relevant und hilf- 
reich. In der Ausführlichkeit und klaren 
Positionsbestimmung ist es auf dem 
üppigen Markt der Veröffentlichungen 
zum Internetdatenschutz einzigartig. 
Es verschafft einen sehr guten juristi- 
schen Überblick und hat vorrangig den 
Datenschutz, nicht die Verarbeitungs- 
interessen im Blick. Für die praktische 
Lösung von schwierigen Problemlagen 
sollte aber auf weitere Quellen zurück- 
gegriffen werden. 


Müller, Stefan 

Homeoffice in der arbeitsrechtlichen 
Praxis 

Rechtshandbuch für die Arbeit 4.0 
Nomos 2019, ISBN978-3-8487-4883-9, 
260 S., 39,00 € 


(tw) Das Arbeitsrecht und den Da- 
tenschutz zusammenzubringen ist 
ein schwieriges Unterfangen. Dieses 
Zusammenbringen wird zunehmend 
wichtig, zumal die Digitalisierung und 
Mobilisierung der Arbeit voranschreitet 
und dadurch das Kontroll- und Überwa- 
chungspotenzial bei der Arbeit steigt. 
Ein Werk zum „Homeoffice” und zur „Ar- 
beit 4.0” ist daher für einen Datenschüt- 
zer von großem Interesse. 

Tatsächlich wird das „Rechtshand- 
buch” seinem Anspruch umfassend 
gerecht: Müller behandelt aus Sicht der 
Praxis fast sämtliche Rechtsfragen, die 
sich bei Aufnahme, Durchführung und 
Beendigung von Heimarbeit ergeben. 
Er geht dabei auf die Weisungsrechte 
der Arbeitgebers, die vielen dabei an- 
zuwendenden gesetzlichen Regelun- 
gen vom Arbeitsschutz über das Ar- 
beitszeitrecht, Fragen der Vergütung, 
der Kostentragung und Haftung bis 
hin zur kollektivvertraglichen Regu- 
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lierung ein und beschreibt qualifiziert 
und unter Rückgriff auf weitere v. a. 
arbeitsrechtliche Literatur die kom- 
plexen Rechtsverhältnisse, die durch 
die Vermischung von privatem Wohn- 
umfeld und Arbeitsleben entstehen. 
Erfreulich ist dabei die neutrale Dar- 
stellung, die den Eindruck vermeidet, 
dass der Autor sich auf eine Seite im 
Arbeitsverhältnis schlagen würde. Tat- 
sächlich finden sich im gesamten Werk 
immer wieder Kästen, die praktische 
Ratschläge einmal für den Arbeitgeber, 
dann wieder für den Betriebsrat geben. 
Von praktischem Nutzen sind auch die 
im Anhang abgedruckten Checklisten. 
Formulierungsvorschläge, das Stich- 
wortregister sowie das detaillierte In- 
haltsverzeichnis, das einen zu Spezial- 
fragen schnell fündig werden lässt. 

Für Datenschützer besonders inter- 
essant sind seine Ausführungen zu den 
Kontroll- und Zutrittsrechten der Ar- 
beitgebers, des Betriebsrats und ande- 
rer Betriebsangehöriger zur Wohnung 
des Arbeitnehmers als Arbeitsplatz. Da- 
bei löst Müller die entstehenden Kon- 
fliktlagen - zumeist über Vereinbarun- 
gen - weitgehend interessengerecht. 
Interessant und vertretbar ist auch 
seine Ansicht, dass Aufsichtsbehörden 
zum Heimarbeitsplatz zwecks Kontrolle 
keinen Zugang haben, da dieser „Woh- 
nung“ und nicht „Geschäftsraum” ist. 

Bei der Suche nach Antworten zu 
spezifischen Datenschutzfragen lässt 
einen der Autor dann aber oft allein 
oder weist in eine falsche Richtung: 
So erklärt er fälschlich den Art. 6 DS- 
GVO im Beschäftigungsverhältnis für 
anwendbar und ignoriert fast völlig 
die Regelung des & 26 BDSG. Zur hoch- 
kontroversen Frage der Kommunikati- 
onskontrolle äußert er sich überhaupt 
nicht. Die Aufsichtsbehörden „behörd- 
liche Datenschutzbeauftragte” zu nen- 
nen, ist befremdlich. Und dogmatisch 
unzutreffend wird es, wenn er z. B. die 
88 53 und 64 BDSG anwendet, die nur 
für den Justiz- und Polizeibereich an- 
wendbar sind. Das schmälert aber die 
arbeitsrechtliche und weitgehend auch 
die datenschutzrechtliche Qualität der 
sonstigen Ausführungen nicht. Inso- 
fern ist das Werk gut auch für Daten- 
schützerInnen geeignet, über den eige- 
nen Tellerrand hinauszuschauen, wenn 
sie es mit Heimarbeit zu tun haben. 


Arbeitsrecht 


CHBICK 


Arnold, Christian/Günther, Jens (Hrsq.) 
Arbeitsrecht 4.0 

Praxishandbuch zum Arbeits-, IP- und 
Datenschutzrecht in einer digitalisierten 
Arbeitswelt 

C.H.Beck, München, 2018, 298 S., 

59,00 €, ISBN 978-3-406-72213-4 


(tw) Die Digitalisierung des Arbeits- 
lebens hat nicht nur eine datenschutz- 
rechtliche Seite, sondern hat Auswir- 
kungen auf fast sämtliche Aspekte im 
Verhältnis zwischen Arbeitgebern und 
Beschäftigten: Produktions- und Ar- 
beitsbedingungen, Formen des Beschäf- 
tigungsvertrags vom Abschluss bis zur 
Kündigung, Flexibilisierung mit der Fol- 
ge der zeitlichen und örtlichen Entgren- 
zung, Qualifizierung, Direktionsrecht, 
Vergütungskonzepte, Arbeits- und Ge- 
sundheitsschutz, Haftung, Schutz des 
geistigen Eigentums und des Wettbe- 
werbs, Mitbestimmungsrechte des Be- 
triebsrats und natürlich auch Schutz des 
Rechts aufinformationelle Selbstbestim- 
mung der Beschäftigten. 

Eine Stärke des Werkes ist dessen 
übergreifender Ansatz, der z. B. die ver- 
schiedenen modernen Beschäftigungs- 
formen mit zumeist mehreren Beteilig- 
ten und die damit verbundenen Formen 
von Produktion und Vergütung sowie 
die sich daraus ergebenden sonstigen 
rechtlichen Konsequenzen - auch im 
Datenschutzrecht - im Detail erörtert: 
Digitale Arbeit erfolgt oft nicht mehr im 
klassischen eindimensionalen vertragli- 
chen Abhängigkeitsverhältnis, sondern 
schließt Selbständigkeitsmodelle ebenso 
ein wie stufenweise, flexible Beschäfti- 
gungsbeziehungen, die steuer-, sozial-, 
zivil- wettbewerbs- sowie strafrechtlich 
und eben auch datenschutzrechtlich oft 
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nicht in klassische Muster einsortiert 
werden können. Bei der rechtlichen Be- 
wertung wird auf die aktuelle Literatur 
und insbesondere höchstrichterliche 
Rechtsprechung, etwa des Bundesar- 
beitsgerichts, zurückgegriffen. 

Zu den behandelten Rechtsthemen 
gibt es schon eine Menge Literatur. Das 
Handbuch von Arnold/Günther schafft 
es, diese vielen Themen knapp und zu- 
gleich differenziert, aussagekräftig 
und verständlich darzustellen. In den 
sieben Kapiteln präsentieren ohne gro- 
ße Redundanzen RechtsanwältInnen 
und HochschullehrerInnen die gesamte 
Bandbreite des digitalisierten Arbeits- 
rechts. Dabei wird nicht nur die rechts- 
dogmatische Seite beleuchtet, Erwäh- 
nung finden auch deren technische 
und historische Entwicklung sowie die 
politischen Erwägungen und lInitiati- 
ven dazu. Eine eindeutige Parteinahme 
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AUF DEINEM 
KLINGELSCHILD? 


ist hierbei nicht zu erkennen, wohl aber 
schon, dass Adressat des Buches weni- 
ger Arbeitnehmervertretungen sind als 
RechtsanwältInnen, Personalabteilun- 
gen, Verbände und Arbeitgebervertre- 
tungen sowie - zumal es sich hier um 
noch nicht vollständig durchdrungene 
und um in der Entwicklung befindliche 
Sachverhalte handelt - Wissenschaftle- 
Innen. Vereinzelte Praxishinweise bie- 
ten handwerkliche Hilfen. Die Ausfüh- 
rungen sind begleitet durch Verweise 
auf vertiefende Literatur. 

Das Kapitel zum Datenschutz bleibt 
weitgehend hinter den spezifischen, 
erheblich umfangreicheren einschlägi- 
gen Darstellungen zurück. Doch werden 
hier aktuelle im Fluss befindliche Frage- 
stellungen des Arbeitsrechts behandelt 
wie Bewerbungsportale, Videobewer- 
bungen, Big Data und People Analytics, 
Smart Factory oder die Nutzung von 


Social Media und Verweise gegeben. 
Das neue Thema gemeinsamer Verant- 
wortlichkeit wird noch nicht vertieft 
bearbeitet, wohl aber das gestufte Ver- 
hältnis zwischen DSGVO und BDSG. Da- 
bei ist die Darstellung fast durchgängig 
korrekt und auf dem aktuellen Stand 
(Ausnahme S. 13, wo fälschlich der nur 
für Justiz/Inneres anwendbare & 71 
BDSG zitiert wird). Damit erweist sich 
das Buch gerade für im Beschäftigten- 
bereich tätige DatenschützerInnen als 
äußerst hilfreich bei der Beantwortung 
von arbeitsrechtlichen Randfragen, die 
sich über den Umstand der Digitalisie- 
rung zum Rechtsverhältnis zwischen 
abhängig Beschäftigten und Beschäf- 
tigern stellen. Ein detailliertes Inhalts- 
verzeichnis, ein aussagekräftiges Stich- 
wortverzeichnis sowie aktuelle Litera- 
turhinweise erleichtern die Nutzung des 
Werks als Handbuch. 


MEIN VERMIETER MEINTE, DASS 
DER NAME AUF DEM KLINGEL- 
WESHALB STEHT SCHILD EIN VERSTOSS GEGEN 
DIE DSGVO BEDEUTET. ALSO 

HABE ICH IHN PSEUDONYMISIERT. 


._ 
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„Alexa, wann ist mein 
nächstes Meeting?“ 


„In Deiner Stimme sind Anzeichen 
einer Erkältung. Ich kann Dir 
ein Medikament empfehlen...‘ 


( 


Zu Risiken und Nebenwirkungen fragen Sie 
Ihren Datenschutzbeauftragten und Apotheker 
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